Programar informes de Sophos Firewall y enviarlos por correo

Sophos Firewall puede enviar informes locales en PDF a diario o semanalmente. Para que el destinatario no reciba un archivo cualquiera, sino un análisis útil, primero se comprueba el informe manualmente y solo después se programa.

El procedimiento fiable es breve:

1. Generar manualmente el informe deseado con el periodo y el filtro previstos.
2. Guardar la selección como bookmark si es necesario.
3. Crear una programación en Reports > Show report settings > Report scheduling.
4. Comprobar la ruta de correo con Send test mail.
5. Generar y enviar el informe inmediatamente con Generate now.
6. Comprobar en el PDF recibido el contenido, el periodo, el idioma y los datos sensibles.

Send test mail y Generate now no comprueban lo mismo: el correo de prueba confirma el transporte de correo. Solo Generate now verifica además que el firewall puede generar el informe seleccionado y enviarlo como PDF.

⚠️ Los modelos XGS 87/87w y XGS 88/88w no admiten On-appliance Reporting. Para estos modelos o para una evaluación central de varios firewalls, puede utilizarse Sophos Central Firewall Reporting en Sophos Fusion.

Comprobar los requisitos

Antes de crear la programación se aclaran seis aspectos básicos:

• Los informes locales funcionan: En Reports, el periodo deseado ya contiene datos plausibles. Una programación no puede corregir la falta de logging ni una base de datos de informes vacía.
• El envío de correo funciona: El servidor de correo integrado o externo y los ajustes necesarios de autenticación, seguridad de la conexión, remitente y destinatario están configurados en Administration > Notification settings. El procedimiento completo se describe en Configurar y probar notificaciones por correo en Sophos Firewall.
• La hora y la zona horaria son correctas: Una hora del sistema incorrecta dificulta seleccionar y comprobar el periodo. Configurar fecha, hora y NTP explica la configuración.
• Hay almacenamiento local disponible: Los datos de informes On-box se encuentran en /var. Cuando se alcanza el umbral de parada, el firewall suspende el reporting. Revisar almacenamiento e informes en Sophos Firewall explica el estado, los umbrales de aviso y la conservación.
• La retención local se ajusta a la finalidad: En Reports > Show report settings > Data management se pueden conservar los informes durante un año como máximo. El periodo elegido se calcula hacia atrás desde el mes anterior y los cambios entran en vigor a las 00:00. Este ajuste solo se aplica a los informes, no a los logs ni a los PDF ya entregados en un buzón. El firewall elimina automáticamente los informes más antiguos. Por ello, antes de cambiar el periodo de retención se comprueban los requisitos de cumplimiento y conservación de la organización.
• El destinatario y la finalidad están definidos: Un buzón funcional como firewall-reports@example.net suele ser mejor que una dirección personal. Necesita un responsable que revise realmente los informes.

Un PDF puede contener usuarios, direcciones IP, direcciones MAC, direcciones de correo, URLs y eventos de seguridad. Por eso conviene limitar los destinatarios, cifrar el transporte de correo y tener en cuenta la conservación en el buzón. Si se utiliza Data Anonymization para logs e informes, se debe comprobar en el PDF realmente recibido si los datos previstos están anonimizados.

Si el reporting se ha detenido por falta de espacio, no basta con reducir el uso de /var justo por debajo del 80 %. Debe bajar del umbral de aviso, normalmente el 70 %, para que el firewall vuelva a generar informes. El umbral de aviso admite valores del 50 al 75 %; el de parada del 80 % es fijo. Control Center muestra avisos y alertas, y Log Viewer también registra la bajada por debajo del umbral de aviso. Las notificaciones por correo y SNMP en el umbral superior están desactivadas de forma predeterminada: en System services > Notification list > Disk/Memory, activar Reports disk usage exceeded threshold para los destinos necesarios y guardar con Save. Después, comprobar el estado y los datos nuevos; recibir un PDF antiguo no demuestra que se haya reanudado la generación. El diagnóstico y la limpieza seguros se explican en el artículo de almacenamiento enlazado.

Controlar globalmente Top Users en los informes PDF

El comando de Device Console poco descriptivo system custom-feature controla si los informes PDF generados incluyen también Top Users. El interruptor es global y no dispone de un parámetro para informe o destinatario. Como la ayuda actual de SFOS 22 no indica un valor predeterminado, primero se consulta el estado existente:

system custom-feature show

Antes de cualquier cambio, registrar el ajuste mostrado como estado inicial aprobado; este determina la reversión.

Con enable se añaden Top Users y con disable se vuelven a eliminar de los PDF generados:

system custom-feature enable
system custom-feature disable

Antes de enable se revisan los destinatarios, la retención y Data Anonymization. Después se utiliza Generate now para crear un PDF real y comprobar que aparecen los usuarios esperados y que las identidades sensibles quedan protegidas como estaba previsto. El interruptor no crea una atribución de usuario que falta ni repara un problema de autenticación o logging. Para la reversión, restaurar exactamente el estado inicial registrado: system custom-feature enable si la función estaba activada, o system custom-feature disable si estaba desactivada. Si ya estaba activada, repetir enable no cambia nada; no desactivarla como supuesta reversión. Después, confirmar el estado inicial con system custom-feature show y comprobar un nuevo PDF con Generate now: Top Users debe aparecer o estar ausente según el ajuste guardado. La reversión no promete completar retroactivamente los datos que faltan ni restaurar el historial de informes perdido.

Preparar el contenido del informe

En este ejemplo, un informe IPS semanal debe mostrar qué ataques se han detectado con mayor frecuencia. Los nombres y valores se adaptan al entorno propio.

1. Abrir Reports > Network & threats > Intrusion attacks.
2. Elegir el periodo deseado.
3. Utilizar Filter para limitar la evaluación a sistemas, reglas o eventos relevantes si es necesario.
4. Seleccionar Generate.
5. Comprobar si el periodo, los hits y la ordenación responden a la pregunta prevista.

La finalidad técnica debe poder explicarse en una frase, por ejemplo: «El equipo de seguridad revisa cada lunes los hits IPS más frecuentes de la semana anterior». Esta afirmación ayuda a decidir qué informe, filtro y destinatario se necesitan realmente.

Para los informes generados se puede seleccionar, de forma opcional, un logotipo propio (Custom logo) que se muestra en los informes.

Elegir el grupo de informes adecuado

En Reports, seleccionar el grupo o análisis con Show y después el intervalo de fechas. Generate actualiza los datos y Filter los limita; Schedule abre la programación directamente desde la vista del informe. La elección debe responder a la pregunta operativa, no solo al nombre:

• Dashboards: Traffic dashboard muestra tráfico por aplicaciones, categorías web y usuarios. Security dashboard muestra actividad denegada, malware, spam y principales países de origen y destino. Executive report reúne información habitual de tráfico y amenazas. User threat quotient clasifica a los usuarios por puntuación de amenaza.
• Network & threats: Intrusion attacks muestra intentos de ataque. Active threat response muestra eventos de amenaza y hosts comprometidos según los feeds de MDR y Sophos X-Ops. Wireless cubre el uso de puntos de acceso y los SSID configurados; Security Heartbeat, el estado comunicado de los endpoints; y Zero-day protection, la actividad de protección avanzada frente a ataques sofisticados y dirigidos.
• Email: Email usage responde a preguntas sobre tráfico de correo; Email protection cubre tráfico infectado con virus o spam. La entrega de correo y los eventos de protección son preguntas distintas.
• VPN: VPN cubre tráfico de acceso remoto; SSL VPN, tráfico de clientes SSL VPN; y Clientless access, acceso mediante navegador. La descripción de VPN también enumera IPsec, L2TP y PPTP. Esta clasificación histórica no garantiza que todos esos métodos estén disponibles o sean seguros en el build instalado; no se activan métodos obsoletos para obtener un informe.
• Compliance: Las vistas se llaman HIPAA, GLBA, SOX, FISMA, PCI, NERC CIP v3 y CIPA; Events muestra eventos de red y su gravedad. Estos informes ayudan al análisis, pero no demuestran por sí solos el cumplimiento completo de una norma ni su vigencia para la organización.
• Applications & web: User app risks & usage, Cloud application usage y Web risks & usage permiten analizar uso y riesgo. El uso de la nube puede examinarse por clasificación, categoría, uso, contenido, zonas de origen y países de destino. Blocked user apps y Blocked web attempts muestran intentos bloqueados; Web policy overrides, excepciones autorizadas de políticas. Synchronized applications cubre aplicaciones de endpoints detectadas mediante Security Heartbeat; Search engine, patrones de búsqueda; y Web content, coincidencias de filtros de contenido. Web server usage, Web server protection, User data transfer, FTP usage y FTP protection cubren tráfico de servidores, ataques a servidores web y sus orígenes, tráfico de usuarios y actividad FTP normal o maliciosa.

Application risk meter calcula una puntuación media a partir del nivel de riesgo y los hits de cada aplicación. El rojo indica más tráfico de aplicaciones de alto riesgo; el verde, más tráfico de bajo riesgo. La media orienta, pero no demuestra un compromiso concreto: para valorarla, revisar las aplicaciones individuales, sus niveles de riesgo y sus hits. Web content tiene un límite de privacidad importante: las páginas clasificadas como highly objectionable criminal activity siempre se bloquean y su dominio se oculta en logs e informes. Por tanto, que falte el dominio no implica automáticamente un fallo de exportación ni justifica desactivar la protección para investigarlo.

En Web policy overrides, revisar los usuarios autorizados para anular políticas y los sitios bloqueados y las categorías web afectados. La descripción de Web server usage abarca tráfico de aplicaciones, web, Internet y FTP; por tanto, esta selección no se limita a ataques a servidores web. Estos se consultan en Web server protection.

Distinguir Custom report, Custom view y bookmark

Un Custom report de Reports > Custom limita un único ámbito de datos mediante criterios detallados. Hay informes de web, correo, FTP, usuarios y servidores web. La limitación de los informes web es importante: la búsqueda personalizada solo muestra dominios, URL, categorías y direcciones IP permitidos. Los accesos web bloqueados se comprueban en Reports > Applications & web > Blocked web attempts.

Una Custom view combina varios grupos de informes en una misma vista, por ejemplo, la actividad de Zero-day protection y los usuarios web. Se crea en Reports > Show report settings > Custom view > Add con un nombre y los grupos necesarios, y después aparece en Reports > Custom. La nueva vista debe generarse y revisarse manualmente antes de programarla o compartirla.

Para elegir los criterios: un informe web busca navegación o virus, por ejemplo por usuario y dominio; uno de correo busca uso, spam y virus por protocolo o usuario. Un informe FTP permite buscar por tipo de transferencia, usuario, archivo o IP de origen. Un informe de usuario relaciona aplicaciones de alto riesgo, dominios improductivos y virus detectados con un nombre de usuario o host de origen. Un informe de servidor web examina hora, usuario, URI y actividad de protección. Los criterios se eligen según la pregunta; no garantizan que existan datos sin el logging correspondiente.

Guardar una Custom view nueva con Save antes de generarla manualmente.

Un bookmark, en cambio, guarda una selección recurrente ya filtrada. En la programación se puede seleccionar un grupo de informes predeterminado o personalizado, o bien un bookmark. Para el administrador, la mejor opción no es el informe técnicamente más grande, sino la selección más pequeña que responde a la pregunta operativa concreta.

Guardar una selección recurrente como bookmark

Un bookmark resulta útil cuando se quiere programar una selección reutilizable con filtros en lugar de un grupo de informes completo.

1. Abrir el informe ya preparado.
2. Seleccionar Bookmark.
3. Introducir un nombre descriptivo como Weekly-IPS-Review.
4. Elegir un grupo de bookmarks adecuado y guardar con Save.

Si no hay ningún grupo apropiado, se crea en Reports > Show report settings > Bookmark management > Add bookmark group. Un nombre como Weekly-IPS-Review describe mejor la finalidad y el ritmo que Report1.

Después de guardar, se vuelve a abrir el bookmark y se genera otra vez el informe. Así se comprueba que se reutiliza realmente la selección prevista. El periodo exacto del PDF posterior no debe deducirse solo del nombre, sino comprobarse en el PDF generado.

Si todavía no hay un grupo de bookmarks propio, el bookmark puede asignarse al grupo predeterminado. Para un grupo nuevo, introducir un nombre y guardar con Save; el grupo organiza bookmarks relacionados, por ejemplo de aplicaciones y amenazas. Para volver a abrir uno, seleccionar el grupo en Show y después el bookmark. El grupo solo aparece en esta selección si contiene al menos un bookmark. Si falta, comprobar primero su contenido en lugar de crear la programación varias veces.

Descargar una exportación de comparación

Para una comparación independiente de la ruta de correo, los informes se descargan en WebAdmin, no mediante la CLI:

1. Abrir Reports > Applications & web.
2. Seleccionar los criterios en Show y después el intervalo de fechas.
3. Generar y revisar los datos con Generate.
4. Elegir uno de los formatos disponibles y abrir el archivo descargado.

En Reports > Show report settings > Data management, el campo de retención se llama Log retention report period, aunque solo afecta a informes. Export customization controla, en cambio, qué informes se exportan y cuántos registros incluye cada uno. Elegir el alcance según la revisión antes de descargar y comprobarlo en el archivo. Personalizar la exportación no cambia la retención ni constituye una forma documentada de eliminar el límite de 50 registros de los informes programados por correo. La gestión completa de almacenamiento y exportación se explica en el artículo ya enlazado.

Crear la programación

1. Abrir Reports > Show report settings > Report scheduling.
2. Seleccionar Add.
3. Elegir Report como tipo.
4. Introducir los destinatarios en To email address. Las direcciones múltiples se separan mediante comas.
5. En Report type, seleccionar un grupo de informes o el bookmark preparado.
6. Si se ofrece, elegir la ordenación por Hits o Bytes de acuerdo con la finalidad.
7. En Email frequency, seleccionar Daily o Weekly.
8. Guardar con Save.

El campo de ordenación se llama Sorting criteria; Hits prioriza las coincidencias frecuentes y Bytes, el volumen de datos. Solo se aplica a informes que ofrecen esa ordenación.

El ejemplo utiliza estos valores:

• Destinatario: firewall-reports@example.net
• Report type: bookmark Weekly-IPS-Review
• Ordenación: Hits
• Frecuencia: Weekly

Estos valores no son un estándar general. Para un informe de ancho de banda puede ser más útil ordenar por Bytes, un informe operativo diario necesita Daily y otra sede puede requerir un destinatario o bookmark propio.

Los informes On-box programados se envían como PDF y contienen un máximo de 50 registros. Este límite se aplica al informe enviado por correo; no debe considerarse un archivo completo ni una exportación de todos los datos locales. Para varios firewalls, datos HA consolidados o evaluaciones centrales más largas, Sophos Central Firewall Reporting en Sophos Fusion es la capa más adecuada.

Desde SFOS 21.5 MR1, un informe PDF programado utiliza el idioma de WebAdmin del administrador que creó la programación. Si el destinatario debe recibir el informe en alemán, la programación se crea desde una sesión de WebAdmin en alemán y se comprueba el resultado mediante Generate now.

Además de los informes normales, la programación también ofrece Security audit report y, si se ha configurado la integración, ConnectWise. El Security Audit Report está pensado especialmente para un análisis pasivo con Discover Mode, TAP y SPAN. Estos tipos cumplen otras funciones y no deben seleccionarse solo porque un informe normal esté vacío.

Configurar de forma deliberada programaciones de Security audit y ConnectWise

Un Security audit report es un informe predefinido sobre la actividad relacionada con la seguridad. Su programación contiene estos campos: Organization name para el nombre que aparece en el informe, To email address para los destinatarios separados por comas, Report type para los datos del grupo de informes o del marcador y Email frequency para el envío Daily o Weekly.

Un ConnectWise schedule solo está disponible después de integrar ConnectWise con Sophos Firewall. ConnectWise debe estar activado en Reports > Show report settings > ConnectWise, con la URL del servidor y las credenciales de usuario de la integración propia. No revelar credenciales en PDF de ejemplo ni en pruebas para soporte. Configure sus campos exactos de programación del siguiente modo:

• Report: Seleccione uno de los informes ConnectWise preconfigurados: Top sites, Filtered sites, Bandwidth usage o Top attacks.
• Number of records: Defina cuántos registros crea el informe. Elija el número según el objetivo de la revisión, sin suponer que el límite general de 50 registros para informes por correo es el valor deseado para ConnectWise.
• Frequency: Programe el informe diariamente en el intervalo especificado.

Después de guardar cualquiera de estas programaciones especializadas, utilice Generate now y revise el informe entregado. Que la integración esté activa o que la programación aparezca en la lista no demuestra por sí solo que el informe predefinido contenga los registros esperados.

Comprobar el envío y el PDF

Después de guardar no se espera hasta la primera ejecución regular.

1. Comprobar el transporte con Send test mail

En la lista se selecciona la programación, se ejecuta Send test mail, se introduce una dirección de prueba y se selecciona Send. Esta dirección se introduce por separado para la prueba y puede ser distinta de To email address de la programación. Para que la primera prueba sea representativa, se utiliza el mismo buzón funcional. Después se comprueba en ese buzón, el filtro antispam o el seguimiento del servidor de correo si el mensaje se ha aceptado y entregado.

Un correo de prueba correcto confirma la conexión con el servidor de correo configurado y la entrega básica. Todavía no confirma que el informe seleccionado contenga datos ni que pueda generarse como un PDF correcto.

2. Comprobar la ruta completa con Generate now

A continuación se ejecuta Generate now. El firewall genera inmediatamente el informe programado y lo envía a los destinatarios configurados.

En el PDF recibido se comprueban:

• el firewall o la sede correctos;
• el grupo de informes o la selección de bookmark previstos;
• un periodo y marcas de tiempo plausibles;
• una ordenación y cantidad de datos útiles;
• el idioma esperado;
• la representación legible de tablas y gráficos;
• si se ha seleccionado un logotipo propio: antes de compartir el informe recién generado, comprobar visualmente si se muestra el logotipo esperado;
• que no se expongan innecesariamente datos de usuarios, red o seguridad.

⚠️ Al actualizar de SFOS 20.0 o anterior a SFOS 21.0 o posterior, los informes anteriores y posteriores a la actualización se almacenan en bases de datos separadas. Si se selecciona únicamente el día de la migración, hay que elegir Data before migration y Data after migration por separado para analizar el día completo. En cambio, un intervalo de fechas que incluya el día de la migración debe dividirse en intervalos anteriores y posteriores a ese día. Al volver a la versión anterior se pierden todos los informes generados desde la actualización, incluso después de actualizar de nuevo. Al comprobar los PDF programados, se debe tener en cuenta este límite entre bases de datos: una entrega de correo correcta no demuestra por sí sola una cobertura continua de la migración.

Comprobar la atribución de fechas después de una interrupción: Al apagar el firewall pueden quedar datos sin procesar. Después del reinicio, los eventos de esos datos pueden atribuirse al día anterior al reinicio en lugar de al día en que ocurrieron, incluso a un día en que el firewall estuvo apagado. Esto afecta a los datos pendientes de procesar, no a todos los eventos de forma general. Por ello, después de una interrupción se genera un PDF nuevo con Generate now y se comprueban con especial atención el periodo y las fechas de los eventos.

Para mantener datos de informes coherentes, se recomienda que el firewall funcione de forma continua; reiniciarlo no corrige las discrepancias en las fechas de los eventos.

Solo entonces se observa la siguiente ejecución regular. La ayuda actual no describe con suficiente detalle la relación exacta entre hora de ejecución, zona horaria y periodo del informe como para asumirla de forma general. Por tanto, el informe generado es la prueba de funcionamiento.

Funcionamiento en un clúster HA

Los datos de informes locales no se sincronizan entre los nodos HA. Cada nodo solo contiene informes del tráfico que procesa. La ayuda de Report scheduling del 19 de diciembre de 2025 describe el envío desde ambos appliances cuando el informe de un appliance contiene al menos una fila de datos en una tabla; si no hay ninguna fila de datos, no describe ningún envío. En cambio, la descripción general de HA del 13 de agosto de 2025 describe un envío desde el appliance auxiliar en función de los datos y cita Security Dashboard y Security Audit como ejemplos en los que no se realiza ningún envío. Estas descripciones no coinciden por completo; la ayuda de programación es la documentación más reciente y más específica para este proceso, pero no constituye una garantía para todos los escenarios de informes y builds. Por ello, pueden llegar dos correos electrónicos. Se comprueba con Generate now el comportamiento del informe seleccionado en el build utilizado y se comparan el remitente, el appliance, el periodo y el contenido antes de eliminar una programación aparentemente duplicada. La ausencia de un segundo correo electrónico, por sí sola, no permite deducir que exista un error ni un fallo de la función HA.

Incluso un appliance inactivo puede generar un Executive report con uso del sistema y datos de informes. Por tanto, «sin tráfico de usuarios» no equivale a «sin filas de datos» y no impide necesariamente el envío desde ambos appliances.

Esta entrega no es automáticamente un error. Primero se comparan el remitente, la identidad del appliance, el periodo y el contenido de ambos PDFs. Para una vista consolidada de ambos nodos, Central Reporting es más adecuado que dos informes locales por correo.

Después de un failover HA, la sustitución de un appliance o una actualización de firmware, se vuelve a comprobar Generate now. Así se detecta si una programación sigue visible, pero sus datos, idioma o entrega ya no cumplen las expectativas.

Delimitar errores de forma sistemática

Send test mail falla

El problema se encuentra entonces en la ruta de correo y todavía no en el contenido del informe. En Administration > Notification settings se comprueban DNS, ruta, puerto, autenticación, OAuth, TLS, certificado, remitente y destinatario. El seguimiento o la cuarentena del servidor de correo muestran si el mensaje se ha aceptado o rechazado.

No se debe crear repetidamente la programación. Primero debe llegar de forma fiable un correo de prueba. Los síntomas y las comprobaciones seguras se describen en el artículo sobre notificaciones por correo.

El correo de prueba llega, pero Generate now no entrega un informe

La ruta SMTP queda así confirmada en lo esencial. A continuación se comprueba:

1. ¿Está seleccionado el grupo de informes o bookmark correcto en la programación?
2. ¿Contiene datos el mismo informe cuando se ejecuta manualmente?
3. ¿Está activo On-box Reporting y lo admite el modelo de appliance?
4. ¿Está /var por debajo del umbral de parada de los informes y, tras una parada por falta de espacio, de nuevo por debajo del umbral de aviso?
5. ¿Están activos el logging y las funciones de protección necesarias para los datos esperados?
6. ¿Aparece el mensaje en el seguimiento, spam o cuarentena del servidor de correo?

En Device Console, dos comandos de solo lectura muestran el estado On-box actual y los umbrales de almacenamiento de informes:

show on-box-reports
show report-disk-usage watermark

Los comandos no modifican nada. El diagnóstico de almacenamiento adicional y el significado de la salida se explican en Gestionar almacenamiento e informes.

El PDF está vacío, incompleto o se muestra incorrectamente

Primero se genera manualmente el mismo informe con el mismo periodo y filtro. Si la evaluación de WebAdmin ya está vacía, faltan datos de informes, logging o eventos coincidentes. Si solo el PDF contiene datos incorrectos o incompletos, se documentan la versión y el build de SFOS, el navegador, la programación, la hora de Generate now y un PDF de ejemplo.

SFOS 22.0 MR2 Build 546 corrige, entre otros, errores relacionados con un PDF vacío del dashboard de tráfico diario sin On-box Reporting y con tablas o gráficos mal representados en PDFs bajo demanda generados en Chrome. Un síntoma parecido en otro build no es automáticamente el mismo error. Antes de realizar cambios se comprueba el build exacto y se compara con un informe generado manualmente.

Para un análisis más profundo, se correlaciona la hora de la prueba con cschelper.log, reportdb.log, garner.log y, si es necesario, postgres.log. El acceso se describe en Sophos Firewall Troubleshooting: Services and Logs. Una sola entrada de log no es motivo suficiente para reiniciar servicios de reporting ni borrar datos de informes.

El Executive report con 1 month no puede descargarse como PDF

Para SFOS 22.0 MR1 Build 490, Sophos documentó en NC-182976 un problema estrictamente delimitado: en Reports > Dashboards > Executive report, la descarga del PDF podía fallar si se seleccionaba 1 month como periodo. Primero se comprueban el build exacto del firmware, el tipo de informe, el periodo y el formato de salida. Esto no significa automáticamente que otros informes PDF o los informes programados por correo también estén afectados.

En la descripción de entonces, Sophos mencionaba una descarga CSV con un periodo de un día; sin embargo, la columna separada Workaround de la KIL indicaba None. Por tanto, esta exportación es solo una comprobación alternativa limitada. No sustituye a un informe mensual completo ni confirma el informe mensual o el proceso de generación de PDF. Si también fallan otros informes, periodos o formatos, el problema es más amplio que NC-182976; en ese caso se documentan la hora y el navegador y se guardan los logs indicados anteriormente, en lugar de reiniciar servicios de reporting o eliminar datos de informes.

La entrada documentada anteriormente para NC-182976 indicaba SFOS 23.0 EAP0 Build 275 en el campo Fix versions y describía como próximas las correcciones para SFOS 23 y SFOS 22.0 MR3. Estos campos históricos no acreditan el estado actual de la versión ni del error. Antes de actualizar, se consultan la Known Issues List actual y las Release Notes de la versión de destino publicada, así como su compatibilidad con el modelo utilizado. La ausencia de la entrada en la Known Issues List actual no demuestra que el error se haya corregido. Si el mismo síntoma aparece en MR2 o en otro build, no se atribuye automáticamente a NC-182976, sino que se investiga con los datos guardados.

El correo contiene solo 50 entradas

Este es el límite superior documentado para informes programados por correo. Los filtros y la finalidad se eligen de forma que los 50 registros más importantes respondan a la pregunta operativa concreta. Si se necesitan datos sin procesar completos, un historial más largo o evaluaciones de varios firewalls, resulta más adecuado un flujo de Central Reporting o SIEM.

El mismo informe llega dos veces

En un clúster HA, puede ser normal recibir dos correos electrónicos; las descripciones oficiales del envío desde el appliance auxiliar en función de los datos difieren, como se explica en el apartado sobre el funcionamiento de HA. Se comprueba con Generate now el informe seleccionado en el build utilizado y se comparan el remitente, el appliance, el periodo y el contenido antes de eliminar una programación aparentemente duplicada. La ausencia de un segundo correo electrónico, por sí sola, no demuestra un fallo de HA. En un firewall independiente, en cambio, se comprueba si dos programaciones utilizan la misma selección de informe y el mismo destinatario.