Die Sophos Firewall verwirft jeden Traffic, der keine passende Regel findet, über eine implizite Default-Regel mit der Firewall ID 0. Diese Drops sind sinnvoll, tauchen aber standardmäßig in keinem Log auf. Damit fehlt genau der Teil, der für Fehlersuche und Sicherheit oft am interessantesten ist. Abhilfe schafft eine manuelle Drop-All-and-Log-Regel als letzte Regel im Regelwerk. Sie fängt alles auf, was keine andere Regel getroffen hat, und protokolliert es. In dieser Anleitung zeigen wir, warum diese Regel fehlt, wie Sie sie sicher anlegen und wie Sie das entstehende Logvolumen im Griff behalten.
Key Takeaways: Drop-Log-Regel
- Die Default-Regel mit der Firewall ID 0 verwirft nicht zugeordneten Traffic, protokolliert ihn aber nicht.
- Eine manuelle Drop-All-and-Log-Regel macht diese sonst unsichtbaren Drops im Log Viewer sichtbar.
- Die Regel gehört als letzte Position ganz ans Ende des Regelwerks.
- Aktion Verwerfen, Quelle und Ziel auf Any, dazu das Protokollieren des Firewall-Traffics aktivieren.
- Die Regel erhöht die Transparenz über Fehlkonfigurationen, vergessene Freigaben und Angriffsversuche.
- Je nach Umgebung entsteht ein hohes Logvolumen, das mit Filtern und Aufbewahrung gesteuert wird.
- Für IPv4 und IPv6 wird jeweils eine eigene Abschlussregel benötigt.
Warum die Default-Regel nicht protokolliert
Trifft eine Verbindung keine der konfigurierten Firewall-Regeln, greift die implizite Default-Regel und verwirft den Traffic. Diese Regel trägt die Firewall ID 0 und arbeitet still, sie erzeugt keinen sichtbaren Logeintrag. Für den reinen Schutz reicht das aus, für die Analyse jedoch nicht. Wer wissen möchte, welcher Traffic am Regelwerk abprallt, sieht ohne zusätzliche Regel schlicht nichts.
Genau hier setzt eine eigene Abschlussregel an. In unseren Augen gehört sie in jedes ernst gemeinte Regelwerk, weil sie den blinden Fleck am Ende der Regelkette schließt. Wie sich die Firewall-Entscheidung anschließend im Log nachvollziehen lässt, zeigt unsere Anleitung zum Lesen der Sophos Firewall Logs.
Was eine Drop-All-and-Log-Regel bringt
Eine Drop-All-and-Log-Regel verwirft denselben Traffic wie die Default-Regel, protokolliert ihn aber. Damit erscheinen die zuvor stillen Drops im Log Viewer und im Packet Capture mit einer eigenen Rule ID. Das bringt gleich mehrere Vorteile für Betrieb und Sicherheit.
- Fehlkonfigurationen werden sichtbar, etwa eine fehlende Freigabe für einen neuen Dienst.
- Vergessene oder zu eng gefasste Regeln fallen durch wiederkehrende Drops auf.
- Angriffs- und Scanversuche aus dem Internet werden dokumentiert statt lautlos verworfen.
- Die Fehlersuche wird schneller, weil sich ein blockierter Flow eindeutig einer Regel zuordnen lässt.
Der passende Kontext dazu ist das gezielte Testen von Regeln, das wir in unserer Anleitung zu Log Viewer, Policy Test und Packet Capture behandeln.
Anleitung: Drop-All-and-Log-Regel anlegen
Die Regel wird im WebAdmin unter Regeln und Richtlinien angelegt und an die unterste Position geschoben. So fängt sie ausschließlich das auf, was keine andere Regel getroffen hat.
- Unter Regeln und Richtlinien eine neue Firewall-Regel für IPv4 erstellen.
- Als Aktion Verwerfen (Drop) wählen.
- Quellzonen, Quellnetze, Zielzonen und Dienste jeweils auf Any setzen.
- Die Option zum Protokollieren des Firewall-Traffics aktivieren.
- Die Regel eindeutig benennen, zum Beispiel Drop-All-Log, und an die unterste Position verschieben.
- Für IPv6 eine gleichartige Regel anlegen, sofern IPv6 im Einsatz ist.
Nach dem Speichern erscheinen die verbleibenden Drops mit der Rule ID dieser Regel im Log. Ein kurzer Funktionstest mit einem bewusst nicht freigegebenen Ziel zeigt sofort, ob die Regel greift und protokolliert.
Position und Reihenfolge im Regelwerk
Die Wirkung hängt vollständig von der Position ab. Steht die Regel zu weit oben, verwirft sie Traffic, der eigentlich von einer späteren Regel erlaubt werden sollte. Deshalb gehört sie immer an das absolute Ende der Regelkette.
Die Sophos Firewall arbeitet das Regelwerk von oben nach unten ab und wendet die erste passende Regel an. Eine Any-to-Any-Drop-Regel an falscher Stelle wirkt daher wie ein globaler Blocker. Nach jeder größeren Änderung am Regelwerk lohnt der Blick, ob die Abschlussregel noch ganz unten steht. Wie sich Netze sauber trennen und Regeln übersichtlich halten lassen, zeigt unsere Anleitung zur Netzwerksegmentierung.
Logvolumen und Aufbewahrung steuern
Eine breite Drop-Regel kann viele Einträge erzeugen, besonders an einem WAN-Interface mit ständigen Scanversuchen. Das ist gewollt, sollte aber gesteuert werden, damit der lokale Logspeicher nicht überläuft und die Auswertung übersichtlich bleibt.
- Bekannten und unkritischen Rauschtraffic bei Bedarf über eine vorgelagerte stille Drop-Regel abfangen.
- Logs für die längere Aufbewahrung an einen Syslog-Server oder an Sophos Central weiterleiten.
- Im Log Viewer gezielt nach der Rule ID der Abschlussregel filtern.
Wie sich Logs sinnvoll aufbewahren, weiterleiten und deuten lassen, behandelt unsere Anleitung zum Lesen der Sophos Firewall Logs. Für mehr Speicher und längere Vorhaltezeiten eignen sich die Produkte Sophos Firewall Reporting und Sophos Central Data Storage.
Die geloggten Drops auswerten
Der eigentliche Nutzen entsteht bei der regelmäßigen Auswertung. Wiederkehrende Drops von internen Adressen deuten oft auf eine fehlende Freigabe oder eine falsch platzierte Regel hin. Häufige Drops aus dem Internet auf bestimmte Ports zeigen dagegen typische Scan- und Angriffsmuster.
Für die tägliche Störungssuche verbindet sich die Abschlussregel gut mit dem übrigen Werkzeugkasten. Systematische Fehlerbilder deckt unser Sophos Firewall Troubleshooting ab. Für eine externe Bewertung des Regelwerks auf einer Sophos Firewall unterstützt Sie unser Team beim Firewall Audit.
Fazit: Mit der Drop-All-and-Log-Regel unsichtbare Drops sichtbar machen
Die Default-Regel schützt zuverlässig, verrät aber nichts über den verworfenen Traffic. Eine manuelle Drop-All-and-Log-Regel schließt diese Lücke und macht Fehlkonfigurationen, vergessene Freigaben und Angriffsversuche sichtbar. Entscheidend sind die richtige Position ganz am Ende des Regelwerks und ein bewusster Umgang mit dem entstehenden Logvolumen.
Aus unserer Sicht gehört diese Regel zu jeder sauber gepflegten Sophos Firewall. In Kombination mit dem Testen von Regeln und dem gezielten Lesen der Logs wird aus einem stillen Drop eine nachvollziehbare Information.
info FAQ zur Drop-All-and-Log-Regel arrow_drop_down
FAQ: Drop-All-and-Log-Regel
Warum loggt die Sophos Firewall die Default-Drops nicht?
Die implizite Default-Regel mit der Firewall ID 0 verwirft nicht zugeordneten Traffic aus Sicherheitsgründen, protokolliert ihn aber nicht. Dadurch bleibt unsichtbar, welcher Traffic am Regelwerk abprallt. Eine manuelle Drop-All-and-Log-Regel am Ende des Regelwerks macht diese Drops sichtbar.
Wo muss die Drop-All-and-Log-Regel stehen?
Die Regel gehört an die unterste Position des Regelwerks. Da die Firewall die erste passende Regel anwendet, würde eine Any-to-Any-Drop-Regel weiter oben legitimen Traffic blockieren. Nach größeren Änderungen sollte geprüft werden, ob sie noch ganz unten steht.
Erzeugt die Regel zu viele Logeinträge?
Je nach Umgebung entstehen viele Einträge, vor allem am WAN durch ständige Scanversuche. Das lässt sich steuern, indem bekannter Rauschtraffic vorher still verworfen wird, Logs an Syslog oder Sophos Central weitergeleitet werden und im Log Viewer nach der Rule ID der Abschlussregel gefiltert wird.
Brauche ich die Regel für IPv4 und IPv6 getrennt?
Ja. IPv4 und IPv6 werden in getrennten Regeln behandelt. Wird IPv6 im Netz genutzt, sollte eine gleichartige Drop-All-and-Log-Regel auch für IPv6 ganz unten im Regelwerk stehen, damit keine stillen IPv6-Drops entstehen.
Ändert die Regel das Sicherheitsverhalten der Firewall?
Nein. Die Regel verwirft denselben Traffic wie die Default-Regel und fügt nur die Protokollierung hinzu. Die Firewall wird dadurch nicht durchlässiger oder restriktiver, sie wird lediglich transparenter, weil die verworfenen Verbindungen nun im Log erscheinen.
