Sophos Firewall Missing Heartbeat Alerts richtig prüfen

Ein Missing Heartbeat Alert bedeutet nicht automatisch Malware. Sophos Firewall meldet damit, dass ein zuvor erkanntes Endpoint weiter Netzwerkverkehr erzeugt, aber keinen passenden Security Heartbeat mehr sendet. Das kann ein defekter Sophos Endpoint sein, entsteht aber ebenso bei LAN/WLAN-Wechseln, Sleep und Wake, falschem DNS-Design oder einem ungeeigneten Netzwerkpfad.

Eine gute Analyse beginnt deshalb nicht mit dem Abschalten von Security Heartbeat. Zuerst prüft man, ob die Firewall das Gerät überhaupt überwachen soll, welcher Traffic den Status auslöst und ob Endpoint, Firewall und Sophos Central denselben Zustand sehen.

Wie Missing Heartbeat entsteht

Sophos Endpoint sendet seinen Status alle 15 Sekunden an Sophos Firewall. Fehlen drei aufeinanderfolgende Heartbeats, während das Endpoint weiter Netzwerkverkehr sendet, setzt die Firewall den Status auf Missing. Sobald wieder ein Heartbeat eintrifft, gilt das Endpoint erneut als aktiv.

Die Zuordnung erfolgt über die MAC-Adresse. Dabei berücksichtigt die Firewall alle Interfaces des Geräts. Genau deshalb treten Meldungen oft beim Wechsel zwischen Ethernet, Docking-Station und WLAN auf: Ein Interface oder ein alter Netzwerkpfad erzeugt noch Traffic, während der Heartbeat bereits über einen anderen Pfad läuft.

Missing ist ausserdem nicht dasselbe wie ein roter oder gelber Heartbeat:

• Missing: Die Firewall sieht Traffic, erhält aber keinen aktuellen Heartbeat.
• Yellow: Das Endpoint meldet einen Warnzustand, etwa eine veraltete Signatur oder eine PUA.
• Red: Das Endpoint meldet einen kritischen Zustand, beispielsweise nicht bereinigte aktive Malware.

Ein Missing-Status ist damit ein Kommunikations- und Zuordnungsproblem, bis die Analyse etwas anderes beweist.

Voraussetzungen und Scope zuerst prüfen

Security Heartbeat setzt eine registrierte Sophos Firewall, Sophos Central Endpoint Protection und eine gültige Network Protection Subscription voraus. Die Grundkonfiguration ist in Sophos Firewall mit Sophos Central verbinden beschrieben.

Missing heartbeat zones kontrollieren

Unter System > Sophos Central > Optional configurations legt das Feld Missing heartbeat zones fest, in welchen Zonen die Firewall fehlende Heartbeats erkennt. Nur Zonen aufnehmen, in denen verwaltete Sophos Endpoints erwartet werden.

Gast-, IoT-, Drucker- oder Servernetze ohne Sophos Endpoint gehören normalerweise nicht in diesen Scope. In gemischten Umgebungen mit Microsoft Defender oder einem anderen EDR sind die Geräte möglicherweise gut geschützt, können aber keinen Sophos Security Heartbeat senden.

Der Scope muss zur Firewall-Policy passen. Sophos weist auf einen wenig intuitiven Sonderfall hin: Blockiert eine Heartbeat-Policy eine Zone, die nicht unter Missing heartbeat zones eingetragen ist, kann das Security-Heartbeat-Widget im Control Center trotzdem Missing anzeigen. Darum Zonenfeld und betroffene Firewall-Regeln immer gemeinsam prüfen.

Lizenz und Central-Zustand verifizieren

Unter System > Sophos Central müssen Registrierung und Security Heartbeat aktiv sein. In Sophos Central prüft man beim betroffenen Computer:

• Ist das Endpoint online und dem richtigen Tenant zugeordnet?
• Zeigt es einen grünen, gelben oder roten Gesundheitsstatus?
• Gibt es zeitgleiche Endpoint Events?
• Wurde das Gerät neu installiert, umbenannt, dupliziert oder aus Central entfernt?

Wenn mehrere Geräte gleichzeitig betroffen sind, liegt die Ursache eher bei Registrierung, Netzwerkpfad oder Policy. Einzelne wiederkehrende Geräte deuten eher auf Endpoint-Dienst, Adapterwechsel oder lokale Netzwerkkonfiguration.

Typische Ursachen richtig einordnen

LAN, WLAN, Sleep und Docking-Station

Der Standard-Timer für die Erkennung eines fehlenden Heartbeats beträgt 60 Sekunden. Bei einem Adapterwechsel kann die Firewall in diesem Zeitraum noch DNS-Anfragen oder Hintergrundverbindungen über die alte IP beziehungsweise MAC-Zuordnung sehen. Power-off, Suspend, Hibernate und Wake können ein ähnliches Muster erzeugen.

Windows-Geräte mit Modern Standby und Sophos Endpoint Protection Core Agent 2023.2 oder neuer informieren die Firewall vor dem Schlafzustand. Modern Standby allein sollte deshalb keinen Missing Alert erzeugen. Bei älteren Agent-Versionen oder anderen Energiesparzuständen bleibt die zeitliche Korrelation trotzdem wichtig.

DNS-Traffic während eines Netzwerkwechsels

DNS ist häufig der letzte sichtbare Traffic eines wechselnden Clients. Sophos dokumentiert dieses Muster im Known-Issue-Eintrag NC-178843 für SFOS 21.5 GA: Besonders externe DNS-Resolver können während eines Netzwerkwechsels zusätzliche Missing Alerts auslösen.

Für verwaltete Clients empfiehlt sich ein konsistentes DNS-Design. Wenn die Sophos Firewall als einziger DNS-Forwarder dient, müssen interne Domains mit passenden DNS Request Routes an interne Resolver weitergeleitet werden. Der Ablauf steht in DNS Request Routes auf Sophos Firewall konfigurieren.

Direkte interne DNS-Server sind ebenfalls ein legitimes Design. Entscheidend ist, dass DHCP, VPN-Profile und Endpoint-Konfiguration denselben Resolverpfad erwarten. Ein Wechsel auf die Firewall als DNS-Forwarder ist keine pauschale Pflicht, sondern eine gezielte Korrektur, wenn externe Resolver nachweislich das Alert-Rauschen verursachen.

VPN, Router und NAT im Pfad

Security Heartbeat funktioniert nur zuverlässig, wenn Endpoint und Firewall den erwarteten Pfad teilen:

• Vor dem Aufbau der Heartbeat-Verbindung darf der Endpoint-Traffic nicht bereits durch einen anderen VPN-Tunnel geroutet werden.
• Bei Sophos Connect kann unter Remote access VPN > IPsec > Advanced settings die Option Send Security Heartbeat through tunnel erforderlich sein.
• Ein Endpoint hinter einem zwischengeschalteten Router kann zu falschen Ergebnissen führen.
• Hinter einem NAT-Gateway können Endpoints ihren individuellen Gesundheitsstatus nicht korrekt mit der Firewall teilen.

Packet Capture und Routingprüfung sind hier aussagekräftiger als ein isolierter Blick auf den Central-Status.

Firewall-Regel präzise prüfen

Die Heartbeat-Steuerung befindet sich unter Rules and policies > Firewall rules > [Regel] > Configure Synchronized Security Heartbeat. Die vier Einstellungen haben unterschiedliche Aufgaben:

• Minimum source HB permitted: Erlaubt nur Source-Endpoints mit mindestens Green oder Yellow. No restriction lässt auch Geräte ohne Heartbeat oder mit rotem Status zu.
• Block clients with no heartbeat: Blockiert Source-Geräte ohne Heartbeat.
• Minimum destination HB permitted: Prüft den Gesundheitsstatus interner Zielgeräte. Diese Kontrolle gilt nicht für Ziele in der WAN-Zone.
• Block request to destination with no heartbeat: Blockiert Anfragen an interne Ziele ohne Heartbeat.

Ein wichtiger Sonderfall wird leicht übersehen: Hat ein Endpoint zuerst einen Heartbeat gesendet und verliert ihn später, behandelt die Firewall es gemäss der konfigurierten Policy. Ein Gerät, das noch nie einen Heartbeat gesendet hat, bleibt dagegen erlaubt, solange nicht beide Optionen Block clients with no heartbeat und Block request to destination with no heartbeat aktiv sind.

Web-Traffic hat eine weitere Ausnahme. Eine passende Ausnahme unter Web > Exceptions kann Webanfragen trotz Block clients with no heartbeat zulassen. Bei Port 80 und 443 deshalb sowohl Firewall- als auch Web-Filter-Logs prüfen. Wie man Rule ID, Policy Test und Packet Capture kombiniert, zeigt Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Heartbeat-Bedingungen sollten nur für klar definierte Sophos-Endpoint-Gruppen gelten. Drucker, Scanner, IoT, Gäste und Drittanbieter-EDR-Clients benötigen meist eine separate, eng gefasste Regel statt einer breiten Ausnahme in der Hauptregel.

Fehlalarme kontrolliert reduzieren

Sophos stellt zwei unterstützte Device-Console-Timer bereit. Vor jeder Änderung zuerst den aktuellen Wert anzeigen und Alert-Zeitpunkte dokumentieren.

Erkennung auf der Firewall verzögern

In der CLI wählt man 4. Device Console und prüft:

system synchronized-security delay-missing-heartbeat-detection show

Der zulässige Bereich liegt bei 30 bis 285 Sekunden in 15-Sekunden-Schritten, der Standardwert bei 60 Sekunden. Wenn nachweislich Adapterwechsel zu Fehlalarmen führen, kann man beispielsweise auf 90 Sekunden erhöhen:

system synchronized-security delay-missing-heartbeat-detection set seconds 90

Danach den gleichen LAN/WLAN- oder Docking-Ablauf erneut testen. Ein höherer Wert reduziert kurze Fehlalarme, verzögert aber ebenso die Erkennung eines echten fehlenden Heartbeats.

Meldung an Sophos Central verzögern

Wenn die Firewall den Status korrekt erkennt, Sophos Central aber bei Sleep, Hibernate, Shutdown oder Wake zu schnell alarmiert, prüft man:

system synchronized-security suppress-missing-heartbeat-to-central show

Der Bereich liegt bei 0 bis 120 Sekunden, Standard ist 0. Eine gezielte Verzögerung von 60 Sekunden wird so gesetzt:

system synchronized-security suppress-missing-heartbeat-to-central set seconds 60

Dieser Timer ändert nicht die lokale Heartbeat-Policy. Er verzögert nur, wann die Firewall den Missing-Status an Sophos Central meldet.

Veraltete Missing-Einträge bereinigen

Alte Einträge kann man nach Abschluss der Ursachenanalyse aus Control Center und Reports entfernen:

system synchronized-security missing-endpoints delete name endpoint1
system synchronized-security missing-endpoints delete days-missing 7

Das Löschen entfernt nur den angezeigten Status. Es repariert weder das Endpoint noch die Heartbeat-Kommunikation. Keinen Eintrag löschen, bevor Gerät, Zeitpunkt und Ursache dokumentiert sind.

Prüfung nach der Anpassung

Eine Änderung ist erst abgeschlossen, wenn der ursprüngliche Ablauf reproduzierbar getestet wurde:

1. Alert-Zeitpunkt, Endpoint-Name, IP, MAC, Zone und betroffene Rule ID notieren.
2. Im Control Center den Security-Heartbeat-Status und unter System > Sophos Central den Zonen-Scope prüfen.
3. In Sophos Central Gesundheitsstatus und Endpoint Events für denselben Zeitraum vergleichen.
4. Im Log Viewer nach Rule ID, Source IP und dem Status No Heartbeat filtern. Bei Webtraffic zusätzlich den Web-Filter prüfen.
5. Bei Pfadproblemen unter Diagnostics > Packet capture kontrollieren, über welches Interface DNS- und Nutztraffic laufen.
6. Den realen Auslöser wiederholen, beispielsweise den Wechsel von Ethernet zu WLAN, und prüfen, ob Alert und Zugriff nun erwartungsgemäss reagieren.

Für tieferes Troubleshooting stehen unter Diagnostics > Tools > Troubleshooting logs insbesondere heartbeatd.log für Endpoint-Status und Anwendungsinformationen sowie hbtrust.log für die Kommunikation zwischen Firewall und Sophos Central zur Verfügung. Die Einordnung weiterer Dateien steht in Sophos Firewall Service-Logs finden und einordnen.

Fehler in heartbeatd.log zur Erfassung neuer Anwendungen gehören dagegen zu Synchronized Application Control und nicht automatisch zu einem Missing-Heartbeat-Problem. Dafür ist Synchronized Application Control Fehler sicher prüfen der passendere Ablauf.

Betriebsentscheidung

In einer reinen Sophos-Endpoint-Umgebung kann ein Heartbeat als harte Zugriffsvoraussetzung sinnvoll sein. Dann müssen Zonen, Regel-Scope, Central-Monitoring und ein Runbook für fehlende Heartbeats zusammenpassen.

In gemischten Endpoint-Umgebungen sollte Heartbeat gezielt eingesetzt werden. Geräte ohne Sophos Endpoint sind nicht automatisch unsicher; sie liefern lediglich kein Sophos-Signal. Eine saubere Segmentierung und separate Regeln sind zuverlässiger als eine globale Heartbeat-Pflicht, die im Alltag ständig Ausnahmen benötigt.

Häufige Fragen