Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

Sophos Firewall

De collector toestaan op Sophos Firewall (SFOS v20 en v21): DoS bypass rule, firewallregel zonder IPS, Synchronized Security en uitzonderingen voor TLS-inspectie en webfilter.

Sophos Firewall kan de scan van de collector blokkeren via DoS-bescherming of de IPS-policy op een firewallregel. In dit artikel maak je een uitzondering voor alleen de collector en zorg je dat de verbinding met het platform niet wordt ontsleuteld.

Wat je nodig hebt

  • COLLECTOR_IP: het IP-adres van de collector;
  • PLATFORM_FQDN: het adres van het portaal (bijv. portal.obsolens.com).

Beide staan in het portaal onder Toegang regelen bij de collector. Kies daar Sophos Firewall (SFOS) bij Stappen voor om de stappen met ingevulde waarden te zien.

Tip: geef de collector een vast IP-adres of een DHCP-reservering. Alle uitzonderingen hangen aan dat adres.

DoS bypass rule

  1. Ga naar Intrusion prevention > DoS & spoof protection, sectie DoS bypass rule. Klik Add.
  2. Vul in:
    • IP version: IPv4
    • Source IP: COLLECTOR_IP
    • Destination: * of het gescande subnet
    • Protocol: TCP
    • Source Port en Destination Port: *
  3. Klik Save.
  4. Maak een tweede regel met Protocol UDP, voor SNMP, SSDP en mDNS.

De velden zijn bevestigd in de API-documentatie van Sophos. Het GUI-pad komt uit een kennisbank van een partner (Avanet).

Spoof protection blokkeert alleen bij een mismatch tussen IP-adres en zone of MAC-adres. Bij een collector met een vast adres speelt dat normaal niet.

IPS: een eigen firewallregel

In SFOS hangt de IPS-policy aan een firewallregel.

  1. Maak een firewallregel boven de LAN-regels.
  2. Bron: COLLECTOR_IP. Doel: de zones of netwerken die de collector scant.
  3. Zet Intrusion prevention op None.
  4. Sla de regel op.

Je kunt ook een IPS-policy kiezen zonder de scan-signatures. Dat is niet bevestigd in de documentatie van de fabrikant.

Active Threat Response en Synchronized Security

  • Active Threat Response isoleert hosts die verbinding maken met een geblokkeerde bestemming uit een threat feed. Dit reageert niet op poortscans. Een uitzonderingslijst voor ATR-isolatie op de firewall is niet bevestigd in de documentatie van de fabrikant. Zorg wel dat PLATFORM_FQDN niet in een eigen threat feed staat.
  • Synchronized Security in Sophos Central: ga naar Global Settings > Protection and Remediation > Synchronized Security en voeg de collector toe bij Reject connections from other devices > Exclusions als hij een server met een Sophos-agent is. Endpoints blijven hem dan bereiken, ook bij een rode health-status.

TLS-inspectie en webfilter voor het platform

  1. Ga naar Rules and policies > SSL/TLS inspection rules.
  2. Maak boven de decrypt-regels een regel met actie Don't decrypt voor PLATFORM_FQDN (of met bron COLLECTOR_IP).
  3. Of zet het domein in de Local TLS exclusion list op dezelfde pagina.
  4. Webfilter: ga naar Web > Exceptions > Add exception. Voeg PLATFORM_FQDN toe als domein of URL-patroon en vink de controles aan die overgeslagen moeten worden (HTTPS decryption, malware scan, policy checks).

De velden van de webfilteruitzondering staan in de API-documentatie van Sophos. De GUI-labels komen uit een kennisbank van een partner en zijn deels niet bevestigd in de documentatie van de fabrikant.

Controleren

  1. Voer op de collector obsolens-collector diagnose uit. Die laat zien of TLS-inspectie of het webfilter nog in de weg zit.
  2. Start in het portaal Nu scannen en controleer in het blok Netwerken of alle VLAN's antwoorden.
  3. Kijk in de logviewer van de firewall of er nog DoS- of IPS-meldingen op COLLECTOR_IP zijn.

Bronnen

Zie ook