[9.165][ANSWERED] How ATP works ?

Is it possible to have a small presentation about how ATP works ?

What are the expected behaviour in the graphical interface and in the logs if you have an ATP present in your network ?

Do you know how we can test this features in details ?

You can trigger detection-events for testing with your webbrowser on a client.
Surf to one of these URLs:
sophostest.com/highrisk
sophostest.com/malware/index.html

I made a test through the firewall with direct connection (no proxy on UTM and no SAV on my laptop) but I did not see anything on ATP log and graphical interface. And of course, I can access to the URL you gave me.

I try both mode (alert and drop), and I did not put any network or threat exception.

I also have disabled the IDS exception for my IP but I had the same behaviour.

Maybe you have to activate masquarading on the uplink interface.

Without a proxy appctrl is used to detect this "threat" and for appctrl it is necessary that also the reply packets goes through the utm.

Hope that helps

Best,
Kofi

A masquerading rule already exists (I can access to Internet)

The APP control is enabled but no application rules are actives for my IP.

Sorry, no idea at the moment. Couldn't reproduce your issue.

I have a very simple test enviroment. client -> asg -> internet. When I browse to sophostest.com/highrisk the request is blocked and I get an alert notification.

@dna: do you have an idea how to debug this?

Kofi > Could you give me an example of the blocked page you get from your browser and an example of log generated by this feature ?

without the http proxy there is no block page, the browser only runs in a timeout.

Log entry:
2013:11:06-16:05:28 dke-asg-02 afcd[32527]: id="2022" severity="warn" sys="SecureNet" sub="packetfilter" name="Packet dropped (ATP)" srcip="10.8.1.145" dstip="176.34.160.144" fwrule="63001" proto="6" threatname="C2/Generic-A" status="1" host="sophostest.com" url="/highrisk" action="drop"

And could you give me a screenshot of the config ?

Do you have other modules activated (IPS, Wireless, HTTP/S proxy, etc. ) ?
Everything is activated on mine, and I'm connected behind a sophos AP.

I have also activated some stuff. IPS/HTTP Proxy Standard Mode/Email/Appctrl/SMTP/Pop3. Endpoint Protection is also activated but not configured.

Atp is the default configuration. Policy to drop and the exceptions empty.

and are you connected from wireless too ?