Sophos Firewall einrichten

Verwenden Sie diese Anleitung, um den Cybora-Feed in Sophos Firewall über Active Threat Response und Third-party threat feeds hinzuzufügen.

Cybora ergänzt die Sophos-eigenen Threat Feeds mit unabhängig kuratierten Signalen. Der Feed ist eine zusätzliche Sicherheitsebene und ersetzt bestehende Kontrollen wie Sophos X-Ops, IPS, EDR oder SIEM nicht.

Voraussetzungen

• Sophos Firewall 21.0 oder neuer.
• Xstream Protection Bundle. Third-party threat feeds sind Bestandteil dieses Bundles. Eine zusätzliche Sophos-Central-Lizenz ist dafür nicht erforderlich. Den Status prüfen Sie unter Administration > Licensing.
• Eine Firewall-Regel, die internen Traffic zum WAN erlaubt.
• Für die Validierung und Fehlersuche konfigurieren Sie die Protokollierung wie im Abschnitt Logging und Dashboard einrichten beschrieben.

Traffic-Erkennung konfigurieren

Ein Feed kann erfolgreich synchronisiert sein und trotzdem keinen Treffer blockieren. Das bedeutet nicht automatisch, dass mit dem Feed etwas nicht stimmt. Sophos Firewall nutzt je nach Indikator-Typ unterschiedliche Funktionen, um den Traffic zu erkennen. Die folgende Übersicht zeigt, was vor dem ersten Test eingerichtet sein sollte:

• IPv4-Adressen: Eine Firewall-Regel für internen Traffic zum WAN.
• Domains: Eine Firewall-Regel sowie aktivierte Application Classification oder eine IPS Policy in der Firewall-Regel.
• URLs: Die Anforderungen für Domains sowie HTTPS-Entschlüsselung, damit die Firewall den vollständigen URL-Pfad lesen kann.

Bei IPv4-Adressen ist der Weg am einfachsten: Der Traffic muss eine passende Firewall-Regel von intern zum WAN durchlaufen. Für Domains benötigt Sophos zusätzlich Application Classification oder eine IPS Policy. Wenn Sophos Firewall selbst als DNS-Server arbeitet, kann sie Domain-Treffer über das DNS-Modul erkennen. Verwenden Clients einen externen DNS-Server oder läuft der Traffic über HTTPS, müssen auch die IPS-bezogenen Einstellungen passen.

URL-Feeds benötigen etwas mehr Aufmerksamkeit. Bei HTTPS sieht die Firewall ohne Entschlüsselung nur den Domainnamen aus dem SNI-Header, nicht aber den vollständigen Pfad wie /login oder /payload. Damit ein URL-Indikator zuverlässig greift, muss der HTTPS-Traffic deshalb auf einem der folgenden Wege entschlüsselt werden:

• Im Web-Proxy-Modus aktivieren Sie in der Firewall-Regel unter Web filtering die Optionen Use web proxy instead of DPI engine und Decrypt HTTPS during web proxy filtering.
• Im DPI-Modus bleibt Use web proxy instead of DPI engine deaktiviert. Erstellen Sie unter Rules and policies > SSL/TLS inspection rules eine Regel mit der Aktion Decrypt für internen Traffic zum WAN.

Wenn ein erwarteter Treffer ausbleibt, prüfen Sie am besten der Reihe nach die Firewall-Regel, Application Classification beziehungsweise IPS, die HTTPS-Entschlüsselung und zuletzt die vorhandenen Ausnahmen. Threat Exclusions, eine erlaubende Web Policy, Ausnahmen unter Web > Exceptions oder eine SSL/TLS-Regel mit Don't Decrypt können verhindern, dass ein IoC erkannt oder blockiert wird.

Reaktion auf einen Treffer

Mit der Aktion Block protokolliert Sophos Firewall den Treffer und blockiert die erkannte Verbindung. Monitor protokolliert den Treffer, lässt den Traffic aber zu. Voraussetzung bleibt, dass der Traffic über das passende Firewall-Modul geprüft wird und keine Ausnahme die Erkennung umgeht.

Security Heartbeat ist für Threat Feeds nicht zwingend erforderlich. Ist Synchronized Security eingerichtet und versucht ein von Sophos verwalteter Endpoint, einen schädlichen Server zu kontaktieren, kann der Endpoint einen roten Security-Heartbeat-Status erhalten. Die Firewall erkennt den betroffenen Endpoint, blockiert dessen Traffic und kann in den Logs zusätzlich IoC-, Host-, Benutzer- und Prozessinformationen anzeigen. Lateral Movement Protection isoliert den kompromittierten Endpoint, damit sich ein Angreifer nicht seitlich im Netzwerk ausbreiten kann. Weitere Details enthält die Sophos-Beschreibung der beteiligten Firewall-Module und Synchronized Security.

Schritte

1. Gehen Sie zu Protect > Active threat response > Third-party threat feeds und klicken Sie auf Add.

   

2. Geben Sie einen eindeutigen Namen ein, zum Beispiel cybora-ultimate-ip. Die Beschreibung ist optional.

3. Wählen Sie unter Action die gewünschte Aktion:

   • Block protokolliert und blockiert Treffer. Das ist unsere Empfehlung für den produktiven Betrieb.
   • Monitor protokolliert Treffer, blockiert den Traffic aber nicht.

4. Legen Sie unter Position fest, wo der Feed einsortiert wird. Sophos wertet blockierte und überwachte Feeds in der angezeigten Reihenfolge aus und protokolliert jeweils den ersten Treffer. Wählen Sie Top, wenn der Cybora-Feed vor den darunterliegenden Feeds geprüft werden soll.

5. Wählen Sie den Indicator type, der zum Parameter type Ihrer Cybora-Feed-URL passt: IPv4 address, Domain oder URL. Wenn Ihr Plan mehrere Indikator-Typen enthält, erstellen Sie für jeden Typ eine eigene Feed-Konfiguration mit der passenden URL.

6. Fügen Sie unter External URL die vollständige Cybora-Feed-URL ein. Ihren persönlichen Lizenzschlüssel erhalten Sie nach dem Kauf per E-Mail. Wie Sie daraus die korrekte URL für IPv4-Adressen, Domains oder URLs bilden, zeigt die Anleitung Feed-URL-Format und Lizenzschlüssel.

7. Wählen Sie unter Authorization die Option No authentication. Bei Cybora ist der Schlüssel bereits als key-Parameter in der Feed-URL enthalten.

8. Aktivieren Sie Validate server certificate, damit Sophos Firewall das TLS-Zertifikat des Cybora-Endpunkts prüft. Bei einem Zertifikatsfehler kontrollieren Sie unter Certificates > Certificate authorities, ob die ausstellende öffentliche CA vorhanden ist.

9. Stellen Sie das Polling interval exakt auf Ihren Cybora-Plan ein. Fragen Sie den Feed nicht häufiger ab, als Ihr Plan erlaubt. Innerhalb des erlaubten Intervalls ist nur eine Abfrage zulässig. Zu häufiges Polling kann dazu führen, dass der Feed blockiert wird.

   Auf XGS 87/87w, 88/88w und 107/107w stehen nur die Polling-Intervalle 24 Stunden, 7 Tage und 30 Tage zur Verfügung. Wählen Sie in diesem Fall das verfügbare Intervall, das nicht häufiger als Ihr Cybora-Plan abfragt.

10. Klicken Sie auf Test connection. Wenn der Test erfolgreich ist, klicken Sie auf Save.

    

Sophos Firewall ruft den Feed danach automatisch im festgelegten Intervall ab und hält die IoC-Liste aktuell. Die Feed-Datei enthält einen Indikator pro Zeile. Sophos unterstützt dabei keine IPv6-Adressen, IP-Bereiche, Netzadressen, Wildcard-Domains oder regulären Ausdrücke.

Threat Exclusions konfigurieren

Wenn ein legitimer Host oder Dienst fälschlicherweise blockiert wird, können Sie eine gezielte Ausnahme erstellen. Verwenden Sie Threat Exclusions zurückhaltend: Eine Ausnahme gilt für alle Active-Threat-Response-Module und nicht nur für den Cybora-Feed. Der ausgeschlossene Traffic wird nicht mehr mit den Threat Feeds abgeglichen und kann dadurch ein Sicherheitsrisiko darstellen.

1. Gehen Sie zu Protect > Active threat response und klicken Sie oberhalb der Feed-Übersicht auf Add threat exclusions.
2. Für bereits angelegte Hosts oder Netzwerke klicken Sie unter Host and network exclusions auf Add new item und wählen die gewünschten Objekte aus.
3. Einzelne IP-Adressen, Domains oder URLs tragen Sie unter Threat exclusions ein und übernehmen jeden Eintrag mit dem Pluszeichen. Ein Eintrag darf maximal 128 Zeichen enthalten.
4. Kontrollieren Sie die Liste und klicken Sie auf Apply. Nicht mehr benötigte Ausnahmen können im selben Dialog bearbeitet oder entfernt werden.

Erstellen Sie eine Ausnahme erst, nachdem Sie den Treffer in den Logs geprüft und bestätigt haben, dass es sich um einen False Positive handelt. Verwenden Sie möglichst den konkreten Host, die einzelne IP-Adresse, Domain oder URL statt einer weit gefassten Netzwerk-Ausnahme. Weitere Details enthält die Sophos-Anleitung zu Threat Exclusions.

Logging und Dashboard einrichten

Mit den passenden Log-Einstellungen können Sie nachvollziehen, welcher IoC erkannt wurde, welches Active-Threat-Response-Modul den Treffer verarbeitet hat und ob die Firewall den Traffic blockiert oder nur protokolliert hat.

1. Gehen Sie zu System services > Log settings.
2. Aktivieren Sie unter Active threat response in der Spalte Local reporting die benötigten Log-Kategorien:
   • Destination match for all traffic erfasst Treffer auf Ziel-IP-Adressen, Domains und URLs bei ausgehendem Traffic.
   • Remote source match (inbound traffic) erfasst Treffer auf Source-IP-Adressen bei eingehendem weitergeleitetem Traffic wie DNAT und WAF. Diese Kategorie ist standardmässig deaktiviert und muss für solche Ereignisse ausdrücklich eingeschaltet werden.
   • Local source match (outbound traffic) erfasst Treffer auf lokale Source-IP-Adressen bei ausgehendem Traffic.
3. Wenn die Ereignisse zusätzlich an einen Syslog-Server oder an Sophos Central gesendet werden sollen, aktivieren Sie dort dieselben Kategorien in der entsprechenden Spalte. Central reporting erscheint erst, wenn auf der Sophos-Central-Seite der Firewall das Senden von Reports und Logs aktiviert wurde.
4. Klicken Sie auf Apply.

Wo ein Treffer protokolliert wird

Das zuständige Log-Modul hängt vom Indikator und vom Traffic-Pfad ab:

• Eine IPv4-Adresse bei weitergeleitetem Traffic wird durch das Firewall-Modul verarbeitet.
• Eine DNS-Anfrage an Sophos Firewall selbst wird durch das DNS-Modul verarbeitet.
• Eine DNS-Anfrage an einen anderen DNS-Server wird durch IPS verarbeitet.
• HTTPS-Traffic im DPI-Modus wird durch IPS zusammen mit der SSL/TLS Inspection verarbeitet.
• HTTPS-Traffic im Web-Proxy-Modus wird durch das Web-Modul verarbeitet.

Für einen vollständigen URL-Pfad bleibt die HTTPS-Entschlüsselung erforderlich. In der Detailansicht oder in weitergeleiteten Syslog-Ereignissen zeigt log_component, ob der Treffer von Firewall, DNS, IPS oder Web verarbeitet wurde. Das Feld threatfeed nennt das auslösende Modul beziehungsweise den konfigurierten Third-party Threat Feed. Dadurch lässt sich prüfen, ob der Treffer Cybora, MDR, NDR Essentials oder Sophos X-Ops zugeordnet wurde.

Unter Log viewer wählen Sie anschliessend Active threat response, um einzelne Ereignisse und blockierte IoCs zu prüfen. Im Control Center zeigt das Widget Active threat response für Third-party Threat Feeds die konfigurierten Feeds, ihren Synchronisierungsstatus und die Anzahl blockierter Bedrohungen. Auf Geräten ohne Local Reporting, darunter XGS 87/87w und 107/107w, steht die Schaltfläche Reports im Widget nicht zur Verfügung. Die Sophos-Anleitung zu Logs und Alerts und die Beschreibung des Active-Threat-Response-Widgets enthalten weitere Details.

Sollen Log-and-Drop-Ereignisse zusätzlich per E-Mail oder SNMP gemeldet werden, aktivieren Sie unter System services > Notification list die benötigten Active-Threat-Response-Ereignisse. Alerts für Remote source match (inbound traffic) werden nicht an Sophos Central weitergeleitet; die zugehörigen Logs bleiben jedoch in Central Firewall Reporting sichtbar. Die Sophos-Übersicht zu ATR-Benachrichtigungen beschreibt die verfügbaren Ereignisse.

Sophos Firewall verarbeitet die Module in einer festen Reihenfolge: zuerst MDR Threat Feeds, danach NDR Essentials, Sophos X-Ops und zuletzt Third-party Threat Feeds. Wird ein IoC bereits von einem früheren Modul blockiert, kann der Treffer dort protokolliert werden, ohne dass der Cybora-Feed noch geprüft wird. Bei Log only beziehungsweise Monitor können dagegen einzelne Events für mehrere Module erscheinen. Berücksichtigen Sie diese Auswertungsreihenfolge, wenn ein erwarteter Treffer nicht unter dem Cybora-Feed auftaucht.

Für die tiefergehende Fehlersuche sind je nach Problem unterschiedliche Logdateien relevant:

• atr.log zeigt Lizenz- und Konfigurationsstatus, atr-service.log den Start und Stopp des Dienstes.
• Bei IPv4-IoCs hilft zusätzlich firewall_rule.log.
• Bei Domain- und URL-IoCs prüfen Sie je nach Traffic-Pfad auch DNS-, SSL/TLS-Inspection- und Web-Proxy-Logs, beispielsweise dnsd.log, ips.log, httplogd.log und awarrenhttp.log.

Eine Übersicht bietet die Sophos-Liste der Logdateien für die Fehlersuche.

Synchronisierungsstatus verstehen

Der Sync status zeigt, ob Sophos Firewall den Feed abrufen und verarbeiten konnte. Ein erfolgreicher Abruf bestätigt jedoch noch nicht, dass ein bestimmter Traffic-Treffer erkannt oder blockiert wird:

• Success: Die Verbindung beziehungsweise die GET-Anfrage an die Feed-URL war erfolgreich.
• Fetching: Der Feed wird gerade heruntergeladen.
• Authentication error: Prüfen Sie die Zugangsdaten und mögliche Fehler beim TLS-Handshake.
• Connection error: Prüfen Sie die Internetverbindung, die Erreichbarkeit des Feed-Servers und HTTP-Fehler wie 404, 500 oder unerwartete Weiterleitungen.
• SSL/TLS error: Prüfen Sie unter Certificates > Certificate authorities, ob die benötigte öffentliche oder private CA vorhanden ist.
• Failed: Prüfen Sie, ob die Feed-URL eine gültige Plain-Text-Datei mit einem unterstützten Indikator pro Zeile liefert.
• Storage full: Die gemeinsame Storage quota reicht nicht für die vollständige Liste aus. Hinweise dazu folgen im nächsten Abschnitt.

Die Sophos-Übersicht der Synchronisierungsstatus enthält weitere Ursachen. Bei einer Wiederherstellung aus einem Firewall-Backup werden die Feed-Konfigurationen, aber nicht die zuvor heruntergeladenen IoC-Listen wiederhergestellt. Nach dem Restore ruft die Firewall die Feeds erneut ab und wendet die konfigurierte Aktion wieder an. Weitere Informationen bietet die Sophos-FAQ zu Active Threat Response.

Speicherlimits und Storage full

Sophos Firewall stellt für alle Third-party Threat Feeds eine gemeinsame Storage quota bereit. Für einen einzelnen Feed gibt es kein separates Limit für die Anzahl der IoCs. IPv4-Adressen, Domains und URLs teilen sich jedoch den insgesamt verfügbaren Speicher. Ein einzelner grosser Feed kann deshalb die gesamte Quota belegen und verhindern, dass weitere Indikatoren gespeichert werden.

Unter SFOS 22.0 können bis zu 50 Third-party-Feed-Konfigurationen angelegt werden. Diese Grenze zählt Konfigurationen und ist unabhängig von der Storage quota oder der Anzahl gespeicherter IoCs. Da Sophos für IPv4-Adressen, Domains und URLs jeweils eine eigene Konfiguration verlangt, belegen drei Indikator-Typen auch drei der 50 verfügbaren Einträge.

Die Sophos-KBA nennt die folgenden ungefähren Maximalwerte:

Die Domain-Werte basieren auf einer durchschnittlichen Länge von 64 Zeichen, die URL-Werte auf 512 Zeichen. Längere Einträge reduzieren die Anzahl, die gespeichert werden kann. Die Werte sind deshalb Richtwerte und keine garantierten Grenzwerte.

Für virtuelle und Cloud-Firewalls weist die KBA ausdrücklich ein konstantes Limit unabhängig von der Appliance-Grösse aus. Zusätzlicher RAM erhöht den ausgewiesenen Richtwert von ungefähr 180.000 IPv4-Adressen, 98.000 Domains oder 18.000 URLs daher nicht.

Zeigt ein Feed den Status Storage full, prüfen Sie unter Active threat response > Third-party threat feeds die Anzeigen Total threat indicators und Storage quota. Löschen Sie redundante Feeds und verwenden Sie kleinere, stärker auf Ihre Umgebung zugeschnittene Listen. Die Firewall fragt den Feed weiterhin im konfigurierten Intervall ab und aktualisiert die Liste wieder, sobald ausreichend Speicher verfügbar ist.

Versionshinweis

Unter Sophos Firewall 21.x gleicht Active Threat Response die Source IP bei bestimmten eingehenden Traffic-Typen, einschliesslich DNAT- und WAF-Traffic, nicht ab.

Ab Sophos Firewall 22.0 berücksichtigt Active Threat Response die Source-IP auch bei inbound forwarded traffic wie DNAT und WAF. Dadurch verbessert sich die Feed-Abdeckung für diese Szenarien.

Weiterführende Links

• Storage limit for third-party threat feeds
• Third-party threat feeds
• Configure third-party threat feeds
• Licenses for threat feed modules
• Firewall configurations for threat feeds
• Active threat response in Sophos Firewall 22.0

Validierung

Prüfen Sie nach dem Speichern unter Active threat response > Third-party threat feeds folgende Punkte:

• Sync status zeigt Success.
• Total threat indicators enthält die erwartete Anzahl IPv4-Adressen, Domains oder URLs.
• Unter Threat indicators können Sie einzelne IoCs im geladenen Feed suchen.
• Unter Logs erscheinen Treffer für Traffic, der zu einem IoC passt.
• Im Control Center zeigt das Widget Active threat response den erwarteten Feed- und Synchronisierungsstatus.

Wenn Sie Domain- oder URL-Feeds über HTTPS verwenden, prüfen Sie ausserdem, ob Decryption und die benötigten Rule-Einstellungen korrekt gesetzt sind, damit die Firewall den Traffic wie erwartet identifizieren kann. Bleibt ein Feed über längere Zeit ohne relevante Treffer, prüfen Sie, ob er für Ihre Umgebung benötigt wird. Nicht benötigte Feeds können entfernt werden und geben Speicherplatz für relevantere IoCs frei.