Sophos XG Update v17 – Alle Neuerungen im Überblick
Bald ist es so weit und das neue SFOS wird in der Version 17 erscheinen! Ich konnte bereits einen Blick auf den Release Candidate werfen und habe euch hier einmal die wichtigsten Neuerungen zusammengefasst.
In diesem Artikel zeige ich euch, welche neuen Features das SFOS v17 bringen wird. Aktuell sprechen wir zwar noch über den „Release Candidate“, doch bereits in wenigen Wochen wird die neue Version für alle verfügbar sein.
6 wichtige Neuerungen im SFOS Update v17
Wer keine Lust hat, sich alles durchzulesen, kann sich auch das folgende Video von Sophos ansehen, wo die Features der XG v17 in weniger als 4 Minuten kurz vorgestellt werden:
1. Synchronized App Control
Ein komplett neues Feature ist die Synchronized App Control. Bisher konnte die XG Firewall nur Applikationen anhand von Signaturen erkennen. Damit konnte man diese dann z. B. blockieren, oder auch bevorzugen und eine garantierte Bandbreite zuteilen (QoS). Ein Grossteil des Traffics konnte aber nicht klassifiziert werden. Darunter fielen selbst entwickelte oder unbekannte Programme oder Applikationen, die bewusst nicht wahrgenommen werden wollten, indem sie keine Signaturen verwendeten.
Mit der v17 hat Sophos nun die Möglichkeit, mehr Applikationen zu erkennen, drastisch erhöht. Für diese Funktion wird allerdings „Synchronized Security“ vorausgesetzt. Das bedeutet für euch, dass ihr für eure Endpoints „Sophos Central Endpoint Advanced“ oder „Intercept X“ braucht und für eure Server „Sophos Central Server Protection Advanced“.
Mit Sophos Central auf den Endpoints gebt ihr eurer XG Firewall die Möglichkeit, mit diesen zu kommunizieren. Sophos nennt dies den „Security Heartbeat“. Somit kann die Firewall nun den Endpoint fragen, welche Prozesse auf dem System aktiv sind und der Endpoint liefert ihr diese Daten zurück. Damit ist es nun auch möglich, den nicht klassifizierten Traffic zuzuordnen. Dazu gibt es hier noch ein Video:
2. Verwalten der Firewallregeln
Wer eine XG sein Eigen nennt, kennt aktuell die Übersicht, wie man Firewallregeln verwalten kann. Es wird sehr schnell unübersichtlich und man musste bisher über den Namen der Regel eine Art „Gruppierung“ erstellen. Die Regeln werden nun kompakter dargestellt, lassen sich gruppieren und die wichtigsten Informationen werden gleich in der Übersicht angezeigt. Wie das dann aussieht, zeigt euch das folgende Video:
3. Policy Test Simulator
Wie auch in der UTM, gibt es nun auch beim SFOS einen Policy Tester. Ihr könnt somit eure Firewall- oder Web-Proxy-Regeln testen, ohne dass ihr euch mit einem Remote-Tool auf den Client verbinden müsst. Das folgende Video zeigt euch, wie der „Policy Test Simulator“ funktioniert:
4. Web-Proxy Keywords blockieren
Einige Unternehmen, vor allem Schulen, hatten in der Vergangenheit häufig das Bedürfnis, eine Webseite zu blockieren, sobald ein bestimmtes Wort darauf auffindbar war. In der neuen v17 kann man nun eine Keywordliste erstellen und diese mit vermeintlich „bösen“ Wörtern füllen. Sollte dann zukünftig so ein Wort auf einer Webseite auftauchen, kann man diesen Aufruf ins Log schreiben lassen oder die Seite gleich ganz blockieren. Auch hier haben wir wieder ein Video dazu:
5. XG Firewall Setup Wizard
Eine XG Firewall einzurichten und in Betrieb zu nehmen, war mit dem bisherigen Setup Wizard nicht ganz so elegant gelöst. Der Prozess war doch teils etwas schmerzhaft. Zum Glück hat Sophos aber für die v17 am Setup Wizard gearbeitet und ein paar Änderungen vorgenommen:
- Das Passwort muss nun gleich zu Beginn geändert werden. Das ergibt durchaus Sinn, da sich somit keine XG Firewall mehr mit „admin“ als Usernamen und Passwort mit dem Internet verbindet.
- Das Design wurde aus meiner Sicht kräftig aufgehübscht.
- Das Backup kann gleich wiederhergestellt werden.
- Eine Internetverbindung wird ab sofort auch nicht mehr vorausgesetzt.
- Die Sophos-ID und Lizenz können nun auch später eingelesen werden. Sobald du die Appliance startest, kannst du diese mit einer 30 Tage Testlizenz installieren, ohne vorher zuerst einen Lizenzserver erreichen zu müssen.
Solltet ihr bereits eine Internetverbindung haben, gibt es drei Möglichkeiten:
- 30 Tage Testlizenz lösen
- UTM Lizenzfile hochladen (UTM zu SFOS Migration)
- XG Lizenzkey eingeben
Schaut euch doch den neuen Setup Wizard in diesem Video genauer an:
6. Unified Log Viewer
Gibt es irgendwo im Netzwerk ein Problem, hilft in den meisten Fällen bereits ein Blick ins Log der Firewall. Der Log Viewer der v16.5 war allerdings wirklich grosser Mist und das wird einem definitiv bewusst, wenn man sich nun den neuen „Unified Log Viewer“ anschaut. Absolut jede Kleinigkeit ist besser geworden! Der neue Log Viewer ist mein absolutes Lieblingsfeature an der neuen v17! Schaut ihn euch an, ihr werdet ihn lieben!
- bessere Übersichtlichkeit!
- alle Informationen im Log
- Suche und Filterung über alle Logs hinweg
- Suche in älteren Logs
Weitere kleine Verbesserungen
- Neue Tools für die Einstellungen von NAT, IPS, Web und VPN
- IKEv2 VPN
- Bessere IPSec VPN Verträglichkeit mit anderen Systemen
- Wildcard FQDN – Damit lassen sich Cloud Services sehr einfach freischalten
- NAT Verbesserungen – Neue Protokolle werden unterstützt, nicht mehr nur TCP und UDP
- Email Protection – Smart Host, Greylisting und Recipient Verification
- Microsoft Azure High Availability
Alle Neuerungen im Detail könnt ihr im folgenden Datenblatt von Sophos nachlesen: XG Firewall : What’s New in v17
Fazit
Das neue SFOS v17 überzeugt mit komplett neuen Features, aber auch sehr wichtigen Verbesserungen von vorhandenen Funktionen. Dieses Update ändert unsere Einstellung zur XG Firewall nun komplett. Hätten wir diese doch bisher eher nur für kleinere Projekte empfohlen, sieht dies nun ganz anders aus. Vor allem der Log Viewer und die neue Übersichtlichkeit der Firewallregeln ist essenziell für eine saubere Konfiguration und ein schnelles Troubleshooting, was bisher bei grösseren Netzwerken nahezu unmöglich war.
Da die v16 bereits ein riesiger Meilenstein gegenüber der v15 war, haben wir damals schon angefangen, bei kleineren Projekten die XG gegenüber der UTM vorzuziehen. Aber nun heisst es für uns ganz klar: „XG First“, was aber streng genommen falsch ist, denn es wäre ja „SFOS First“. 🙂
Solltet ihr eine SG Firewall mit dem UTM-Betriebssystem besitzen, könnt ihr eure Hardware nun mit gutem Gewissen mit dem neuen SFOS ausstatten. Die Lizenzen können übernommen werden, die Konfiguration jedoch nicht. Das ist aus unserer Sicht aber auch nicht so schlimm, denn wir hatten bereits mehrere Migrationen von UTM zu SFOS und in jedem Fall tut es so oder so gut, die Konfiguration einmal wieder von Grund auf neu zu überdenken.
Mehr Informationen zu SFOS v17:
