Sophos Central Firewall Management: funciones con SFOS v18

La primera conexión entre el firewall y Sophos Central surgió con la llegada de Synchronized Security. Poco después se lanzó Sophos Central Firewall Manager. Sin embargo, el conjunto de funciones de esta primera versión era muy limitado, por lo que el producto resultaba poco atractivo al principio. Con SFOS v18, Central Firewall Manager se ha ampliado considerablemente.

Información: Si desea conocer en detalle todas las novedades de la próxima versión SFOS v18, puede consultar mi artículo completo: Sophos SFOS v18: nuevas funciones de un vistazo

Central Firewall Management

Personalmente, considero Sophos Central Firewall Manager (SCFM) una herramienta muy lograda. Aunque el conjunto de funciones disponible actualmente es todavía manejable, la visión de Sophos que hay detrás es muy interesante. Para nosotros, la herramienta resulta especialmente útil para mantener una visión general en entornos de clientes con varios firewalls. En el ámbito UTM, esta tarea la asume Sophos UTM Manager (SUM); para SFOS puede utilizarse además Sophos Firewall Manager. Desde nuestro punto de vista, sin embargo, este último solo es adecuado en ciertas circunstancias. Observando la evolución de SCFM, es evidente que el clásico Sophos Firewall Manager será sustituido a medio plazo.

Veamos ahora las funciones básicas más importantes y cómo empezar a trabajar con Central Firewall Manager.

Conectar el firewall

Para utilizar la gestión de firewalls necesita una cuenta Sophos Central. Puede crearla de forma gratuita, y la propia gestión de firewalls también se puede utilizar sin coste. En el backend del firewall puede registrarse en Sophos Central mediante el menú «Central synchronization». El firewall se vincula entonces con Central.

Management

Con el tiempo, en su cuenta de Central se crea una lista con todos los firewalls que ha añadido. Con un clic sobre el nombre del firewall iniciará sesión automáticamente en el backend del equipo correspondiente y podrá realizar la configuración como de costumbre. El acceso a través de Central es perceptiblemente más lento que una conexión directa al firewall, pero resulta bastante más cómodo porque no requiere un inicio de sesión adicional. ¿El firewall tiene una dirección IP dinámica? No hay problema. Como la conexión hacia Central la inicia el propio firewall, el proceso funciona perfectamente.

Las funciones disponibles en Central Firewall Manager dependen de la versión de firmware instalada en cada firewall. Algunas funciones solo se activan a partir de una versión concreta.

Actualizaciones de firmware

En el resumen de firewalls puede ver de un vistazo qué versión de firmware tiene cada modelo. Con un clic en «Upgrade» y luego en «Upgrade Firmware» puede desplegar la versión más reciente disponible.

No me cansaré de repetirlo: utilice el botón de actualización siempre con la máxima precaución. Prepare las actualizaciones con cuidado e infórmese de antemano de qué cambios trae la nueva versión. Observamos con frecuencia que las actualizaciones de firewall se aplican a la ligera. Con nuestros contratos de mantenimiento de firewall asumimos la gestión de parches de sus firewalls y le evitamos sorpresas desagradables. 😎

Copias de seguridad en línea

Con Sophos Central Firewall Manager también puede crear copias de seguridad programadas o manuales de la configuración del firewall. En cualquier caso, es muy recomendable establecer una estrategia de copias de seguridad. Hasta ahora, las copias podían descargarse manualmente desde el firewall, guardarse directamente en un servidor FTP o enviarse por correo electrónico.

A pesar de estas opciones, en la práctica siguen surgiendo problemas cuando realmente se necesita una copia de seguridad. Entre otros, hemos observado las siguientes situaciones en clientes:

• La dirección de correo a la que se enviaban las copias ya no existía, por lo que nunca llegaban al buzón.
• La protección de correo bloqueaba los mensajes porque se enviaban desde una IP dinámica o el registro SPF era incorrecto.
• Existía una copia de seguridad, pero no se podía recuperar la contraseña correspondiente.
• Existía una copia de seguridad, pero estaba ya muy desactualizada.

Seguro que se podrían encontrar más motivos por los que una copia de seguridad resulta inútil en caso de necesidad. Muchos de estos riesgos se reducen usando la copia de seguridad en línea de Central. Dispone de un repositorio central y cifrado para sus copias de seguridad en Sophos Central. Allí se mantienen siempre actualizadas y están inmediatamente disponibles cuando se necesitan.

Novedades en v18

Las funciones descritas anteriormente están disponibles ya desde la versión 17.5. A continuación veremos las nuevas capacidades que se añaden únicamente con SFOS v18.

Informes (Reporting)

En el pasado, existía un producto independiente de Sophos para informes centralizados: iView. En sentido estricto, el software sigue existiendo, pero en la práctica consideramos que un producto que lleva años sin desarrollo está de facto descatalogado. Que Sophos no lo haya declarado oficialmente como tal cambia poco. 😅 Para nosotros, iView no tiene futuro, aunque su idea sigue viva en Central Reporting.

Si activa los informes en el firewall, los datos de registro se envían a Sophos Central. A partir de estos datos se pueden generar informes muy útiles.

Actualmente, Central Reporting para el firewall está aún en fase beta. No obstante, la versión actual ya ofrece una idea muy clara de lo que se puede esperar de la versión final.

Configuración global de firewalls

En entornos con muchos firewalls, la gestión puede volverse rápidamente compleja. Con unos diez firewalls, la administración suele poder realizarse todavía de forma más o menos manual; a partir de unos cincuenta, sin embargo, se convierte en un verdadero reto. Con v18 es posible agrupar firewalls cómodamente en Central.

En las políticas de grupo dispone de una interfaz de firewall familiar, en la que puede definir y guardar ajustes centrales. Estas configuraciones se distribuyen después a todos los firewalls del grupo correspondiente.

Esta función también se encuentra aún en fase beta, algo que hemos podido comprobar claramente en las pruebas. Todavía está algo lejos de ser una solución totalmente madura y quedan algunas cuestiones de detalle por resolver. En líneas generales, sin embargo, estamos convencidos de que la configuración global de firewalls será en el futuro una ayuda muy importante para gestionar grandes entornos de firewall.