Poor download/upload performance

Some Questions to better understand the different types of lookups for learning purpose.

1) SXL = Cloud Lookup with Local Cache.
        So If I browse CNN - it checks CNN = News and Display the site.
        It also Caches this locally and therefore subsequent users browsing CNN would check Locally thus faster and Display.
    
But what is CNN is Hacked and is Serving Malicious Files for whatsoever reason, how long does it take for the Local Cache to Expire and it would lookup in the cloud to confirm now it should be block as Malicious ?

2) Assuming I did not read this post and simply stays with
cc get http sc_local_db_= DISK (Typed manually in putty)
cc get http use_sxl_urid = 1 (Because Endpoint Protection is Enabled and not typed in putty)

How does the lookup behave in such scenario whereby there is a Local DB and the SXL is 1 which I think means True thus is Enabled?

3) I read that SXL is the Best Option and would be the way going forward. 
    In what way would Looking up in the cloud, even with local cache be Faster than entire Local DB Cache. It is just about 400MB. Even if Ram is insufficient, loading it to Disk is still faster then lookup in the cloud right?

I am confused whereby it seems Local DB Cache seems to be the fastest but SXL is the way going forward.

If SXL is definitely the Best, where is Local DB Cache option available even if it is not officially supported. For all these features to be available even if it is not officially supported it still need code from the developers for it to work thus there must be a reason why such option is there.

4) Assuming I simply stick to my Local DB Settings.
cc get http sc_local_db_= DISK (Typed manually in putty)
cc get http use_sxl_urid = 1 (Because Endpoint Protection is Enabled and not typed in putty)

How would it Behave when Upgrade to 9.3 whereby SXL is the default.
It would Overwrite and change to the following by force ? 
cc get http sc_local_db_= NONE 
cc get http use_sxl_urid = 1

5) Is this CFFS and SXL looking at the SAME Database or they are 2 separate Database?

6) Is SOPHOS still using McAfee Database or now it is using some other database?

Once again, thank you all for the help, so happy that I happen to see this post and realized there is this SXL.

1) SXL = Cloud Lookup with Local Cache.
        So If I browse CNN - it checks CNN = News and Display the site.
        It also Caches this locally and therefore subsequent users browsing CNN would check Locally thus faster and Display.
    
But what is CNN is Hacked and is Serving Malicious Files for whatsoever reason, how long does it take for the Local Cache to Expire and it would lookup in the cloud to confirm now it should be block as Malicious ?

Without going into too many details, the cache is for 10 minutes.  However the system also uses expired cache entries with background refresh.  This means that even if it has been more than 10 minutes it still as fast as a local cache but a site that is suddenly malicious is blocked on the second request.

2) Assuming I did not read this post and simply stays with
cc get http sc_local_db_= DISK (Typed manually in putty)
cc get http use_sxl_urid = 1 (Because Endpoint Protection is Enabled and not typed in putty)

How does the lookup behave in such scenario whereby there is a Local DB and the SXL is 1 which I think means True thus is Enabled?

sc_local_db wins over sxl setting.

3) I read that SXL is the Best Option and would be the way going forward. 
    In what way would Looking up in the cloud, even with local cache be Faster than entire Local DB Cache. It is just about 400MB. Even if Ram is insufficient, loading it to Disk is still faster then lookup in the cloud right?

I am confused whereby it seems Local DB Cache seems to be the fastest but SXL is the way going forward.

If SXL is definitely the Best, where is Local DB Cache option available even if it is not officially supported. For all these features to be available even if it is not officially supported it still need code from the developers for it to work thus there must be a reason why such option is there.

Because of the way SXL uses expired cache, on a loaded system >95% of the time the answer is local and therefore the same speed, but with less memory usage.  It has several thousand times the number of users, is officially supported, and give Sophos more flexibility in the future.

As for why the local database option even exists, one the reasons is some parts of the world some customer have very poor ping times.  CFFS cloud lookups have no caching and therefore every request causes a lookup.  On a satellite connection with 300ms round trip times...  Their solution was rather than caching the answers, cache the whole database.  On smaller systems the total bandwidth for downloading the local db updates can be higher than the bandwidth for individual lookups.

The other reason for this (and in some ways the big underlying reason for it all) is that there used to be a company called Astaro who made a UTM that used CFFS for cloud and local db.  Sophos, who uses SXL, purchased Astaro.  As SXL is in many ways much superior to CFFS we are switching everyone on the UTM over to it.

4) Assuming I simply stick to my Local DB Settings.
cc get http sc_local_db_= DISK (Typed manually in putty)
cc get http use_sxl_urid = 1 (Because Endpoint Protection is Enabled and not typed in putty)

How would it Behave when Upgrade to 9.3 whereby SXL is the default.
It would Overwrite and change to the following by force ? 
cc get http sc_local_db_= NONE 
cc get http use_sxl_urid = 1

The upgrade changes all customers to have use_sxl_urid = 1.  It does not change the sc_local_db.  Anyone on local db continues to use it.

5) Is this CFFS and SXL looking at the SAME Database or they are 2 separate Database?

[QUOTE=Alvin;281168]6) Is SOPHOS still using McAfee Database or now it is using some other database?

They are both use the same data source (McAfee).  However every cloud server has its own copy of the database.

1) SXL = Cloud Lookup with Local Cache.
        So If I browse CNN - it checks CNN = News and Display the site.
        It also Caches this locally and therefore subsequent users browsing CNN would check Locally thus faster and Display.
    
But what is CNN is Hacked and is Serving Malicious Files for whatsoever reason, how long does it take for the Local Cache to Expire and it would lookup in the cloud to confirm now it should be block as Malicious ?

Without going into too many details, the cache is for 10 minutes.  However the system also uses expired cache entries with background refresh.  This means that even if it has been more than 10 minutes it still as fast as a local cache but a site that is suddenly malicious is blocked on the second request.

2) Assuming I did not read this post and simply stays with
cc get http sc_local_db_= DISK (Typed manually in putty)
cc get http use_sxl_urid = 1 (Because Endpoint Protection is Enabled and not typed in putty)

How does the lookup behave in such scenario whereby there is a Local DB and the SXL is 1 which I think means True thus is Enabled?

sc_local_db wins over sxl setting.

3) I read that SXL is the Best Option and would be the way going forward. 
    In what way would Looking up in the cloud, even with local cache be Faster than entire Local DB Cache. It is just about 400MB. Even if Ram is insufficient, loading it to Disk is still faster then lookup in the cloud right?

I am confused whereby it seems Local DB Cache seems to be the fastest but SXL is the way going forward.

If SXL is definitely the Best, where is Local DB Cache option available even if it is not officially supported. For all these features to be available even if it is not officially supported it still need code from the developers for it to work thus there must be a reason why such option is there.

Because of the way SXL uses expired cache, on a loaded system >95% of the time the answer is local and therefore the same speed, but with less memory usage.  It has several thousand times the number of users, is officially supported, and give Sophos more flexibility in the future.

As for why the local database option even exists, one the reasons is some parts of the world some customer have very poor ping times.  CFFS cloud lookups have no caching and therefore every request causes a lookup.  On a satellite connection with 300ms round trip times...  Their solution was rather than caching the answers, cache the whole database.  On smaller systems the total bandwidth for downloading the local db updates can be higher than the bandwidth for individual lookups.

The other reason for this (and in some ways the big underlying reason for it all) is that there used to be a company called Astaro who made a UTM that used CFFS for cloud and local db.  Sophos, who uses SXL, purchased Astaro.  As SXL is in many ways much superior to CFFS we are switching everyone on the UTM over to it.

4) Assuming I simply stick to my Local DB Settings.
cc get http sc_local_db_= DISK (Typed manually in putty)
cc get http use_sxl_urid = 1 (Because Endpoint Protection is Enabled and not typed in putty)

How would it Behave when Upgrade to 9.3 whereby SXL is the default.
It would Overwrite and change to the following by force ? 
cc get http sc_local_db_= NONE 
cc get http use_sxl_urid = 1

The upgrade changes all customers to have use_sxl_urid = 1.  It does not change the sc_local_db.  Anyone on local db continues to use it.

5) Is this CFFS and SXL looking at the SAME Database or they are 2 separate Database?

[QUOTE=Alvin;281168]6) Is SOPHOS still using McAfee Database or now it is using some other database?

They are both use the same data source (McAfee).  However every cloud server has its own copy of the database.