Sophos Firewall v21.5 MR1: seguridad y estabilidad en el foco
Sophos Firewall v21.5 MR1 reúne numerosas mejoras de seguridad, estabilidad y fiabilidad. A ello se suman novedades específicas como OAuth 2.00 para notificaciones por correo electrónico, ajuste fino de NDR y refuerzo de la alta disponibilidad.
Nuevas funciones en SFOS v21.5 MR1
OAuth 2.00 para notificaciones por correo electrónico
Las notificaciones por correo electrónico se pueden proteger con OAuth 2.00 frente a Gmail y Microsoft 365. La autenticación por contraseña se está retirando de forma gradual. Ventajas: menor superficie de ataque, gestión centralizada de tokens y accesos trazables. La configuración se realiza en Administración > Configuración de notificaciones. Para Gmail se requiere registrar una aplicación en Google Cloud Console (Client ID, Client Secret). El firewall utiliza Refresh Tokens para la autenticación persistente. Además, OAuth 2.00 permite aplicar políticas, autenticación multifactor y revocación central de tokens comprometidos. Conviene migrar pronto los perfiles SMTP, realizar un envío de prueba y configurar un servidor de correo de respaldo; las políticas MFA deberían revisarse y documentarse.
Informes programados localizados
Los informes PDF programados se generan en el idioma utilizado durante el inicio de sesión en el Webadmin. Esto reduce el esfuerzo de traducción y facilita la coordinación con las áreas de negocio. Los informes son más consistentes y pueden utilizarse en reuniones de dirección sin trabajo adicional.
NDR Essentials: Selección de centro de datos
La región de análisis para NDR Essentials se puede seleccionar libremente. Por defecto se utiliza la región con menor latencia. Así pueden cumplirse requisitos de residencia de datos y compliance. En entornos multirregión, elegir correctamente es clave para evitar flujos de datos no deseados. Es recomendable documentar la región seleccionada, preparar cualquier cambio planificado, adaptar el monitoreo y tener en cuenta las directrices de protección de datos.
NDR Essentials: Threat Score en registros ATR
El Threat Score aparece en los logs de Active Threat Response. Esto facilita la priorización, la correlación y el reporting en SIEM y XDR. Las alertas basadas en puntuación permiten una clasificación más precisa de los incidentes.
Syslog: device_name corresponde al hostname
El campo device_name contiene el hostname configurado del firewall. Esto permite asignar los logs con mayor claridad en entornos con varios dispositivos. Las integraciones con XDR y SIEM se vuelven más robustas.
Alta disponibilidad reforzada
Las passphrases fuertes son obligatorias y se elimina la generación automática. Además, el acoplamiento HA verifica la clave de host SSH del partner. Esto dificulta ataques Man-in-the-Middle y evita confusiones de clúster. Una salida de errores mejorada ayuda en el diagnóstico.
Modo LINCE en HA
LINCE es una certificación estatal de seguridad de España que define requisitos criptográficos mínimos. El modo LINCE fuerza en el firewall una selección permitida de algoritmos y longitudes de clave e influye, entre otros, en los ajustes de SSH y VPN. La activación se realiza por CLI y reinicia el servicio SSH. En entornos HA, el modo LINCE debe ser idéntico en ambos dispositivos antes de configurar HA. Al restaurar backups de HA, el estado LINCE de los dispositivos de destino debe coincidir con el backup; de lo contrario, la restauración se rechaza o se ajusta el modo.
Route-based VPN: XFRM-MTU automática
El firewall calcula automáticamente una MTU ajustada para interfaces XFRM restando la sobrecarga de IPsec. Objetivo: menos fragmentación y conexiones TCP más estables. El valor se puede ajustar. Después del upgrade conviene comprobar la MTU, afinarla según el proveedor si hace falta y probar las aplicaciones críticas.
Columnas de tabla personalizables
Muchas áreas de Sophos Firewall v21.5 MR1 admiten columnas de ancho ajustable, por ejemplo Network, rutas SD-WAN, Gateways o Local Service ACL. Los anchos se guardan en el navegador y se reutilizan en sesiones posteriores.
Vouchers de Hotspot: Ordenar y filtrar
Los vouchers se pueden ordenar por fecha de creación y aparecen de inmediato en la parte superior. Esto facilita la entrega y el control.
SNMP-MIBs: cumplimiento de RFC mejorado
Las MIB están más alineadas con los RFC para SNMPv1, v2 y v3. Esto mejora la compatibilidad con herramientas de monitoreo y reduce errores de parsing.
Live Users: unidades de datos unificadas
Los volúmenes de datos se muestran uniformemente en KB, MB y GB. Esto facilita las comparaciones y reduce los malentendidos.
Importación de grupos desde AD y Entra ID
Al importar grupos, L2TP y PPTP ya no se activan automáticamente. El acceso remoto permanece explícitamente controlable. Esto evita superficies de ataque no deseadas.
Active Directory SSO: Windows Server 2025
Single Sign-On ahora soporta Windows Server 2025 mediante NTLM y Kerberos. Esto facilita la integración en entornos AD modernos y configuraciones híbridas con Azure AD.
RED System-Hosts: /32 correcto
Los objetos System Host para RED utilizan ahora de forma consistente la máscara de subred /32. Antes, la máscara podía diferir de la configuración definida al crear la interfaz. Si un RED System Host se utiliza en reglas u objetos para redes más amplias, es posible que el tráfico ya no haga match después de la actualización. En la práctica, conviene revisar las reglas de firewall y los objetos de host dependientes y, si es necesario, cambiarlos a objetos IP o de red adecuados.
Compatibilidad y notas
- Compatibilidad SSL VPN: No hay túneles hacia SFOS 18.5 o anteriores, Legacy SSL VPN Client o UTM 9. Alternativas: upgrade, IPsec o RED.
- Los túneles Legacy RED Site-to-Site de la antigua generación dejan de estar soportados a partir de SFOS 22. Se recomienda migrar a túneles RED Site-to-Site o IPsec compatibles.
- Rutas de upgrade: respetar las rutas oficiales de migración. Sophos Central puede planificar y controlar upgrades.
- Antes de cada upgrade, crear un backup completo y un plan de rollback.
Conclusión
Sophos Firewall v21.5 MR1 es un Maintenance Release regular con pequeñas mejoras y correcciones de errores. Estabiliza la operación diaria e incluye ajustes de detalle. Tienen sentido la migración a OAuth 2.00 para notificaciones por correo electrónico, la selección de la región NDR y una breve revisión de los ajustes HA y Syslog. En conjunto, se trata de ajustes incrementales para mantener la rama de release actual. Volverá a ponerse interesante a principios de diciembre, cuando debería aparecer SFOS v22.
Enlaces relacionados
- Blog de Avanet: Sophos Firewall v21.5
- Avanet KB: Actualización de Firmware de Sophos Firewall – Preparación y Mejores Prácticas
- Avanet KB: Actualización del Firmware en Sophos Firewall (Firmware Update)
Referencias
