Införa Sophos Firewall TLS-inspektion korrekt

Med TLS Inspection avslutar Sophos Firewall klientens krypterade anslutning och upprättar en andra anslutning till destinationsservern. Den kan inspektera klartexten mellan de två. Brandväggen signerar om servercertifikatet som presenteras för klienten med sin egen CA (Certificate Authority). Om klienten inte litar på denna CA, visar den en certifikatvarning eller avslutar anslutningen.

Detta gör det möjligt att inspektera dekrypterat innehåll, exempelvis skanning efter skadlig kod och innehållsskanning. Utan dekryptering kan skyddsfunktioner begränsas, beroende på modul, till information som IP-adress, domän, SNI, certifikat eller protokollmetadata. Det motiverar inte en bred initial distribution: certifikatfästning, sekretess, programkompatibilitet och den extra brandväggsbelastningen måste åtgärdas innan lanseringen.

Den säkra korta versionen är: bestäm om du ska använda DPI- eller webbproxy-sökvägen, distribuera den omsignerande CA till en liten grupp, dokumentera det aktuella tillståndet, skapa en Dekryptera-regel med snäv omfattning, kör ett positivt och ett negativt test, och först därefter utöka omfattningen.

Bestäm dig innan piloten

Licens, CA och ansvar

SSL/TLS-inspektionsregler och URL-grupper som används i dem tillämpas med Base License. Web Protection är inte en generell förutsättning för TLS-inspektion. Det krävs när webbkategorier används som regelkriterier eller när motsvarande webbskyddsfunktioner behövs. Skadlig programvara, Zero-Day och andra inspektioner kräver var och en relevant prenumeration. Vilka Sophos Firewall-paket är tillgängliga? och Förstå Sophos Firewall Base License förklarar skillnaderna.

Förtydliga följande innan du skapar den första regeln:

• Dokumentera SFOS-versionen som används, den tillgängliga licensen och den avsedda inspektionsvägen.
• Definiera en hanterad pilotgrupp och ett tydligt tidsfönster. Exemplet nedan använder klienten 10.20.30.50 från testnätverket 10.20.30.0/24; ersätt dessa värden med dina egna objekt.
• Skaffa godkännande från ansvariga integritetsintressenter för omfattning, loggning, lagring och användarmeddelande.
• Säkerhetskopiera det exakta initiala tillståndet för brandväggsregeln, TLS-regler, dekrypteringsprofil, CA och eventuella globala inställningar.
• Namnge ägaren, avbrytkriterier, undantagsprocess och återställningsväg.

Den omsignerande certifikatutfärdaren måste finnas i förtroendearkivet för de berörda operativsystemen eller webbläsarna. Alternativt kan du använda en underordnad företags-CA. En offentligt betrodd CA är inte tillgänglig för detta ändamål eftersom brandväggen signerar om certifikat för tredjepartsdomäner. Med en extern certifikatutfärdare måste både rot- och underordnad certifikatutfärdare importeras; om den undertecknande CA innehåller en EKU-sektion måste den tillåta TLS Web Server Authentication. Installera Sophos Firewall CA-certifikat för HTTPS-skanning beskriver distribution, medan Sätt upp en underordnad CA för Sophos Firewall TLS-inspektion täcker företags-CA-metoden.

⚠️ Börja inte med alla användare. Enheter utan ett hanterbart förtroendearkiv, BYOD och applikationer som använder certifikatpinning bör initialt förbli i ett separat omfång. Ett undantag återställer anslutningen, men tar bort dess innehåll från dekryptering.

Håll DPI och webbproxy åtskilda

SFOS använder DPI engine som standard. På den här vägen bearbetar brandväggen brandväggsregeln först och sedan SSL/TLS-inspektionsreglerna. Inspektionsregeln tillåter inte i sig trafik: till och med Services: Any betyder bara att TLS-trafik som redan är tillåten av brandväggsregeln på någon TCP-port är kvalificerad för denna inspektionsregel.

För DPI-sökvägen, öppna Rules and policies > Firewall rules, redigera den relevanta LAN-till-WAN-regeln och kontrollera Security features > Web filtering:

1. Lämna Use web proxy instead of DPI engine inaktiverad.
2. Välj en webbpolicy endast om det planerade skyddet kräver det; det är inte en förutsättning för dekrypteringsregeln.
3. Scan HTTP and decrypted HTTPS möjliggör skanning av skadlig programvara för HTTP och HTTPS som redan har dekrypterats. Alternativet aktiverar inte i sig HTTPS-dekryptering.

I Web Proxy Mode hanterar proxyn HTTPS-dekryptering. Decrypt HTTPS during web proxy filtering är den relevanta inställningen på proxysökvägen. DPI-regler under Rules and policies > SSL/TLS inspection rules gäller inte anslutningar som dekrypteras av webbproxyn. Med den transparenta proxyn passerar portarna 80 och 443 genom proxyn medan SSL/TLS på andra portar fortfarande kan hanteras av DPI-sökvägen; med den explicita proxyn utför webbproxyn dekryptering.

CA:erna är också separata: DPI använder CA från SSL/TLS-inställningarna eller den valda dekrypteringsprofilen. Webproxyn använder CA från Web > General settings. När du byter läge, kontrollera inte bara reglerna utan även den CA som faktiskt presenteras. Välj DPI-motor eller webbproxy korrekt förklarar skillnaderna mer i detalj.

Denna utgående inspektionsväg är inte avsedd för webbservrar publicerade på internet. Web Server Protection / WAF eller en omvänd proxy är vanligtvis den lämpligare arkitekturen där. SSL/TLS-inspektionsregler gäller för utgående trafik, så endast interna zoner kan väljas som Source zones. De upptäcker TLS på vilken TCP-port som helst, men tillämpas inte över UDP.

Inkludera QUIC i inspektionsvägen

QUIC, eller HTTP/3, använder UDP. Block QUIC protocol i en brandväggsregel blockerar utgående UDP-paket till portarna 80 och 443 inom den regelns räckvidd, vilket tvingar klienter att falla tillbaka till en inspekterbar TCP-sökväg. SFOS väljer alternativet som standard så snart en webbpolicy har valts i regeln eller Scan HTTP and decrypted HTTPS är aktiverat. Detta är per regel, inte globalt, så kontrollera brandväggsregeln som faktiskt matchar.

Detta webbfilter kan inte skanna QUIC. Det betyder inte att alla andra brandväggskontroller förbigås, men den förväntade TCP-TLS- och webbfiltervägen gäller inte. Korrekt blockering av QUIC och HTTP/3 på Sophos Firewall visar regeltestet; Skapa en webbskyddspolicy för Sophos Firewall täcker webbpolicyn.

Välj omfattning efter syfte och risk

Den vanliga utgångspunkten är hanterad användartrafik från LAN till WAN. Ett separat trådlöst företagsnätverk kan följa som Wi-Fi > WAN. För fjärråtkomst är VPN > WAN endast relevant när användarnas internettrafik faktiskt passerar brandväggen genom en full tunnel. Inkludera interna anslutningar från LAN till en DMZ endast när innehållsinspektion har en tydlig fördel där och båda sidor litar på den omsignerande CA.

Teknisk kompatibilitet och tillstånd att dekryptera är separata beslut. Bank-, hälso- och sjukvårdsportaler, lösenordshanterare, identitetsleverantörer, uppdateringar av operativsystem och leverantörer samt röst-, video- och samarbetstjänster kräver en funktions- och sekretessbedömning innan inkludering. Pinning eller ett pilotfel motiverar inte ett generellt undantag för en hel kategori: identifiera först källan, domänen och applikationen som faktiskt krävs.

Konfigurera en komplett pilot

För en pilot som kan testas direkt använder vi dessa exempelvärden:

• Pilotklient: 10.20.30.50 från det dokumenterade testnätverket 10.20.30.0/24
• Brandväggsregel: LAN to WAN - TLS pilot
• SSL/TLS-inspektionsregel: TLS decrypt pilot client
• Källzon: LAN, Destinationszon: WAN
• Destinationsnätverk och tjänster: Any
• Åtgärd: Decrypt
• Dekrypteringsprofil: initialt Block insecure SSL eller en pilotprofil som härrör från den
• Loggning: Log connections aktiverad för piloten

10.20.30.0/24, värd-IP och objektnamn är exempel. Produktionskällan måste vara tillräckligt smal för att identifiera en klient entydigt. Any för destination och tjänst gör det lättare att observera TLS utanför TCP 443 under piloten; den utvidgar inte vad den föregående brandväggsregeln tillåter. Om inspektion endast är tillåten för en specifik destinationsgrupp, lägg till en URL-grupp eller ett annat lämpligt destinationskriterium.

Välj en dekrypteringsprofil

Under Profiles > Decryption profiles finns tre icke-redigerbara standardprofiler tillgängliga:

• Maximum compatibility maximerar kompatibiliteten och begränsar inte chiffer.
• Block insecure SSL blockerar svaga chiffer och tillåter trafik som inte kan dekrypteras.
• Strict compliance tillämpar strikta krav, inklusive krav baserade på PCI DSS.

Maximum compatibility kan hjälpa till att isolera en problematisk klient tillfälligt, men dess avslappnade kontroller gör den olämplig som ett produktionsacceptanskriterium. För piloten är Block insecure SSL eller en medvetet härledd profil den mer transparenta utgångspunkten. Tolerera gamla TLS-versioner eller RSA-nycklar kortare än 2048 bitar endast för en namngiven äldre server och i en regel med snäv omfattning.

En anpassad profil kan åsidosätta de globala SSL/TLS-inställningarna. De återsignerande CA-alternativen är Use CAs defined in SSL/TLS settings, Re-sign RSA with och Re-sign EC with. För trafik som inte kan dekrypteras är alternativen Use SSL/TLS settings default, Allow without decryption, Drop och Reject. Den globala standardreferensen gäller inte Unrecognized cipher suites; detta fall måste bedömas uttryckligen i profilen. Beroende på inställningen använder certifikatfel, minsta RSA-storlek, TLS-versioner och blockerade chiffer Drop, Reject eller Reject and notify som deras Block action.

Inspektion gör inte ett självsignerat servercertifikat eller ett med en ofullständig kedja tillförlitligt. Istället för att hastigt utesluta det, kontrollera först värdnamnet, originalcertifikatet och hela kedjan.

Med TLS 1.3 fungerar certifikatfel, minsta RSA-storlek, en global nedgradering och Reject and notify som dokumenterats endast med Action: Decrypt. Med Don’t decrypt eller Deny används istället Reject för denna profilhantering. En global nedgradering till TLS 1.2 introducerar en säkerhetsrisk och är inte en allmän kompatibilitetsfix.

Skapa regeln och kontrollera dess ordning

Under Rules and policies > SSL/TLS inspection rules > Add ställer du in fälten enligt följande:

1. Rule name: TLS decrypt pilot client
2. Rule position: Top, så pilotregeln föregår allmänna anpassade dekrypteringsregler
3. Action: Decrypt
4. Log connections: aktiverad för pilotövervakning
5. Decryption profile: den valda pilotprofilen
6. Source zones: LAN
7. Source networks and devices: värdobjekt för 10.20.30.50
8. Destination zones: WAN
9. Destination networks: Any
10. Services: Any
11. Categories and websites: tom eller begränsad till den godkända destinationsomfattningen

Log connections är valfritt och krävs inte för att regeln ska fungera. Det är ändå användbart för en tidsbegränsad pilot eftersom handskakning och anslutningsstängning kan spåras. Lagringen måste följa den överenskomna integritets- och driftpolicyn.

Tabellen utvärderas från topp till botten och behandlingen avbryts vid första matchen. Alla konfigurerade kriterier måste matcha samtidigt. Den fasta standardregeln Exclusions by website or category förblir överst och kan inte föregås genom att välja Rule position: Top. Placera anpassade Don't decrypt-undantag omedelbart under det, följt av specifika pilotregler och, slutligen, bredare Dekryptera-regler.

Användar- och gruppkriterier är tillförlitliga endast om SFOS känner till användarkontexten för anslutningen. Om detta inte är garanterat, börja med en entydig värd eller nätverksobjekt och lägg till identitetskriterier först efter ett separat matchningstest.

Håll undantagen snäva

Standardregeln Exclusions by website or category använder Don’t decrypt med Maximum compatibility och förblir i första positionen. Local TLS exclusion list är tom som standard; Managed TLS exclusion list innehåller kända inkompatibla webbplatser och underhålls genom firmwareuppdateringar.

Redigera den lokala listan på:

Web > URL groups > Local TLS exclusion list

URL-grupper eller SNI-matchningar är mer effektiva för domänundantag än många FQDN-värdar. Enligt Sophos, till exempel, orsakar 200 FQDN-värdar 200-uppslagningar för varje ny SSL/TLS-anslutning. Undantag för källa och destination kan inte heller kombineras. Skapa och använd URL-grupper på ett säkert sätt förklarar domänens omfattning, jokertecken och negativa tester.

En anpassad SSL/TLS-inspektionsregel med Action: Don’t decrypt bör registrera domänen, berörd källa, orsak, ärendenummer, ägare och granskningsdatum. Don’t decrypt är inte en ovillkorlig förbikoppling: begränsningarna för den valda dekrypteringsprofilen gäller fortfarande. För att tillåta SSL 2/3, komprimering eller okända chiffer för ett uttryckligen godkänt äldre fall, använd en profil med Allow without decryption tillsammans med Action: Don’t decrypt. Denna kombination hör inte hemma i en bred internetregel.

SSL/TLS-undantag och webbundantag löser olika problem. Ett TLS-undantag styr dekryptering på valfri TCP-port i DPI-läge. Ett webbundantag ändrar valda webbpolicykontroller; i proxyläge påverkar det den relevanta proxysökvägen. Innan du gör en ändring, avgör om Dekryptering eller endast en webbkontroll ska uteslutas. Skapa och testa webbundantag säkert visar arbetsflödet för urval och regex.

Hantera Android med en snäv omfattning

Vissa Android-anslutningar använder certifikatfästning. Anslutningskontroll, Play Butik eller uppdateringar kan då misslyckas under Dekryptering. Arbetsflödet som dokumenterats av Sophos använder ett isolerat VLAN eller trådlöst nätverk och en FQDN-värdgrupp som innehåller:

• *.play.googlezip.net
• *.gvt1.com
• *.app-measurement.com
• den lokala Google-domänen, till exempel *.google.ch i Schweiz

Ovanför den allmänna dekrypteringsregeln, lägg till en SSL/TLS-inspektionsregel med Action: Don’t decrypt, Decryption profile: Maximum compatibility, Source zone: Wi-Fi, mobilenhetsnätverket som Source networks and devices, WAN som Destination zone, och Google-gruppen som Destination networks. Den ligger under den fasta standarduteslutningen men över den allmänna Dekrypteringsregeln. Håll mobilnätverket isolerat från känsliga interna resurser.

Acceptera ändringen med en Android-pilotenhet: kör Connectivity Check, webbläsare, ladda ner och uppdatera Play Butik. I Log viewer kan endast de förväntade Google-destinationerna matcha undantaget; en annan HTTPS-destination från samma VLAN måste fortfarande använda den avsedda dekrypteringsregeln. Detta negativa test förhindrar acceptans av ett undantag som fungerar men är för brett. Skapa webbundantag och TLS-undantag på ett säkert sätt täcker ytterligare metoder och SNI-begränsningar.

Verifiera effekten

En policysimulering, en riktig klient och loggarna svarar på olika frågor. Kombinera dem för ett pålitligt acceptanstest.

Under Diagnostics > Tools > Pop-out tools > Policy tester väljer du Firewall, SSL/TLS, and web och ställer in Käll-IP, Destination eller URL, protokoll och, om det behövs, porten. Utan ett protokoll testar verktyget HTTP med den protokollspecifika standardporten. Policytestare simulerar transparent webbtrafik; den modellerar inte SD-WAN-rutter, och regler med MAC-adresser under Source networks and devices matchar inte där. Web policy only testar endast webbpolicyn. Resultatet är därför en förutsägelse, inte ett bevis på den faktiska datavägen.

Kör fyra riktade tester på klienten:

1. Före ändringen, registrera destinationsdomän, certifikatutfärdare, svarstid och om affärsapplikationen fungerar.
2. Öppna en godkänd positiv destination. Webbläsaren måste visa den omsignerande CA som valts för DPI som utfärdare, och Log viewer måste matcha den förväntade dekrypteringsregeln och dekrypteringsprofilen.
3. Öppna en avsiktligt utesluten destination. Den måste matcha den förväntade Don't decrypt-regeln; webbläsaren får inte visa ett certifikat som omsignerats av brandväggen där.
4. En andra, icke-exkluderad destination från samma klientomfattning måste fortfarande dekrypteras. Detta är undantagets negativa test.

Om en webbpolicy är en del av designen, blockera även en testkategori eller test-URL som är specifikt godkänd för detta ändamål. Kör ett test av skadlig kod endast med ett dokumenterat, ofarligt leverantörstestobjekt och ett fördefinierat förväntat resultat; denna artikel gör inga anspråk på ett labbtest. Före och efter piloten, jämför CPU- och minnesbelastning, svarstid och användarfel under samma tidsfönster.

Tolka Control Center och Log viewer korrekt

Kontrollcenterwidgeten heter SSL/TLS connections. Dess detaljer uppdateras var femte minut. Sessioner täcker de senaste 24 timmarna och fel de senaste 7 dagarna; Failed återställs vid midnatt. Den detaljerade informationen inkluderar inte webbproxyanslutningar. Decryption peak visas endast nära eller över toppen, och Decryption limit endast nära den enhetsspecifika gränsen. Det finns därför ingen universell tröskel för alla apparater.

Öppna Log viewer uppe till höger och välj modulen SSL/TLS inspection. En TLS-anslutning loggas efter att handskakningen är klar och när den stängs. Åtgärd, Regel, Dekrypteringsprofil, Källa, Destination, Domän och felorsaken spelar roll; Enbart färger är inte ett tillförlitligt acceptanskriterium. Under Manage > Exclude kan du lägga till domäner eller underdomäner till den lokala TLS-uteslutningslistan och kategorier till standarduteslutningen. Exclude är inte tillgängligt för fel-ID:n 19004 och 19005.

En Don't decrypt-händelse bevisar bara att anslutningen inte dekrypterades. Endast Regel, listmatchningen och det negativa testet visar om undantaget är motiverat och tillräckligt snävt.

Felsök och rulla tillbaka på ett säkert sätt

När en incident inträffar, begränsa initialt ärendet till en klient, en domän, en tidpunkt, en brandväggsregel och en SSL/TLS-inspektionsregel.

• Om webbläsaren visar en certifikatvarning, jämför den synliga utfärdaren med den CA som används av den faktiska DPI- eller proxysökvägen. Kontrollera sedan klientens förtroendelager, rot/underordnad kedja och värdnamn.
• Om SSL/TLS-händelser saknas, kontrollera först brandväggsregeln och läget. Bekräfta sedan att Rules and policies > SSL/TLS inspection rules och Advanced settings > SSL/TLS engine > Enabled är aktiva.
• Om trafik är tillåten men inte dekrypterad, sök uppifrån och ned efter den fasta standarduteslutningen, Managed/Local List eller en anpassad Don't decrypt-regel. Upprepa sedan det negativa testet.
• Om webbfiltret inte gäller, kontrollera den faktiska brandväggsregeln för dess webbpolicy, Scan HTTP and decrypted HTTPS, Block QUIC protocol och DPI/proxy-läge. Förekomsten av en webbpolicy bevisar inte dekryptering.
• Om bara en applikation misslyckas, använd felorsak, TLS-version, chiffer, certifikatkedja och pinning för att vägleda nästa beslut. Håll varje tillfälligt undantag snävt och ge det ett granskningsdatum.
• Om belastningen ökar, minska pilotomfattningen och jämför samma tidsfönster före och efter ändringen. Bedöm topp- eller gränsmeddelanden för den specifika apparaten.

Inaktivera SSL/TLS engine endast kort för felsökning. När den är inaktiverad gäller inga SSL/TLS-inspektionsregler och DPI-motorn tillämpar inte brandväggens webbpolicy på HTTPS; Web Proxy HTTPS-dekryptering förblir opåverkad. Att inaktivera den är därför inte en likvärdig, lågriskersättning för att specifikt inaktivera pilotregeln.

Testa portagnostiska IPS endast med ett känt initialtillstånd

Som standard kontrollerar SFOS dekrypterad trafik mot IPS-signaturer på varje TCP-port. För en reproducerbar falsk positiv, dokumentera signatur-ID, källa, destination, TCP-port, brandväggsregel, inspektionsregel och SFOS-build. Föredra ett snävt signaturundantag med Action: Allow packet i den IPS-policy som faktiskt används; Konfigurera och testa Sophos Firewall IPS beskriver denna metod.

Ett möjligt symtom på ett problem med portagnostisk inspektion är upprepade träffar på samma IPS-signatur på samma webbplats. Upprepningen i sig bevisar inte ett falskt positivt resultat. Kontrollera att exakt Signature ID och destination stämmer överens i loggarna, kontrollera det berörda legitima arbetsflödet och bedöm risken innan ett snävt avgränsat, återkalleligt signaturundantag godkänns.

Den mer omfattande inspektionen av potentiella hot kan öka belastningen och minska genomströmningen för dekrypterad HTTPS-trafik något jämfört med äldre versioner av Sophos Firewall. Detta är en möjlig versionsrelaterad effekt, inte en garanterad minskning eller ett bevis på en regression i den build som används för närvarande. För att sätta resultaten i sitt sammanhang jämför man genomströmning, CPU- och minnesbelastning samt svarstid vid jämförbar trafikbelastning inom samma tidsfönster; en enskild jämförelse ersätter inte en orsaksanalys.

En global jämförelse i Device Console är endast tillåten om det exakta aktuella värdet, on eller off, redan är känt från ändringsposten eller en tillförlitligt säkerhetskopierad konfiguration. Den officiella SFOS 22-dokumentationen anger inget kommando för att läsa av switchens aktuella tillstånd. Om initialtillståndet är okänt, utför inte testet.

Endast med ett dokumenterat initialtillstånd av on kan du ställa in följande för en förberedd jämförelse:

set ips scan_decrypted_port_agnostic off
set ips scan_decrypted_port_agnostic on

Det andra kommandot här återställer bara det kända initiala tillståndet för on. Om initialtillståndet var off, aktivera det inte blint; behåll off eller återställ det exakt efter en auktoriserad ändring. Denna globala inställning påverkar hela brandväggen och kan minska genomströmningen något eller, med off, begränsa inspektionsomfånget. Dokumentera resultatet och tidsfönstret utan att endast behandla detta som bevis på en allmän orsak.

Rulla tillbaka i en fast ordning

En återställning återställer det dokumenterade initiala tillståndet snarare än att introducera en ny arkitektur:

1. Inaktivera pilotregeln TLS decrypt pilot client. Ändra inte profil, webbpolicy och undantag samtidigt.
2. Använd pilotklienten och bekräfta att denna regel inte längre matchar och att den tidigare dokumenterade sökvägen används igen. Anta inte att befintliga sessioner omedelbart omvärderas; upprätta en ny anslutning för testet.
3. Om bara en destination påverkas och operationer kräver det, skapa ett tidsbegränsat Don't decrypt-undantag och kör dess negativa test.
4. Efter godkännande, ta bort tillfälliga undantag, testobjekt och CA-inställningar som distribueras endast för piloten på ett kontrollerat sätt. Ta inte bort delade certifikatutfärdare utan att kontrollera.
5. Anteckna regel-ID, klient, destination, synlig CA, logghändelse, tid och återställda inställningar i ändringsposten.

Webbpolicyn kan förbli konfigurerad, men utan dekryptering kan den inte skanna den krypterade HTTPS-nyttolasten. Återgå till webbproxy endast om det var det verifierade initiala tillståndet. Inaktivera inte hela SSL/TLS-motorn som standardåterställning eftersom det stoppar alla DPI TLS-regler och tillämpningen av DPI-webbpolicyn på HTTPS.

Stoppa utrullningen så snart en affärskritisk applikation misslyckas, certifikatvarningar visas utanför pilotgruppen, omfattningen matchar bredare än förväntat eller belastning och fel överskrider de fördefinierade gränserna. Utöka källgruppen gradvis först när det positiva testet, undantagets negativa test, affärsapplikationerna, loggarna, användarfeedbacken och belastningsprofilen uppfyller alla överenskomna kriterier under den överenskomna perioden.

Under drift, granska uteslutningar, TLS-fel, nya applikationer, belastning och användarfeedback enligt ett definierat schema. Behåll endast tillfälliga undantag medan ägaren, skälet och granskningsdatumet förblir giltiga; annars, ta bort dem efter ett nytt positivt och negativt test.

Vanliga frågor