Programar informes de Sophos Firewall y enviarlos por correo

Sophos Firewall puede enviar informes locales en PDF a diario o semanalmente. Para que el destinatario no reciba un archivo cualquiera, sino un análisis útil, primero se comprueba el informe manualmente y solo después se programa.

El procedimiento fiable es breve:

1. Generar manualmente el informe deseado con el periodo y el filtro previstos.
2. Guardar la selección como bookmark si es necesario.
3. Crear una programación en Reports > Show report settings > Report scheduling.
4. Comprobar la ruta de correo con Send test mail.
5. Generar y enviar el informe inmediatamente con Generate now.
6. Comprobar en el PDF recibido el contenido, el periodo, el idioma y los datos sensibles.

Send test mail y Generate now no comprueban lo mismo: el correo de prueba confirma el transporte de correo. Solo Generate now verifica además que el firewall puede generar el informe seleccionado y enviarlo como PDF.

⚠️ Los modelos XGS 87/87w y XGS 88/88w no admiten On-appliance Reporting. Para estos modelos o para una evaluación central de varios firewalls, puede utilizarse Sophos Central Firewall Reporting en Sophos Fusion.

Comprobar los requisitos

Antes de crear la programación se aclaran seis aspectos básicos:

• Los informes locales funcionan: En Reports, el periodo deseado ya contiene datos plausibles. Una programación no puede corregir la falta de logging ni una base de datos de informes vacía.
• El envío de correo funciona: El servidor de correo integrado o externo y los ajustes necesarios de autenticación, seguridad de la conexión, remitente y destinatario están configurados en Administration > Notification settings. El procedimiento completo se describe en Configurar y probar notificaciones por correo en Sophos Firewall.
• La hora y la zona horaria son correctas: Una hora del sistema incorrecta dificulta seleccionar y comprobar el periodo. Configurar fecha, hora y NTP explica la configuración.
• Hay almacenamiento local disponible: Los datos de informes On-box se encuentran en /var. Cuando se alcanza el umbral de parada, el firewall suspende el reporting. Revisar almacenamiento e informes en Sophos Firewall explica el estado, los umbrales de aviso y la conservación.
• La retención local se ajusta a la finalidad: En Reports > Show report settings > Data management se pueden conservar los informes durante un año como máximo. El periodo elegido se calcula hacia atrás desde el mes anterior y los cambios entran en vigor a las 00:00. Este ajuste solo se aplica a los informes, no a los logs ni a los PDF ya entregados en un buzón. El firewall elimina automáticamente los informes más antiguos. Por ello, antes de cambiar el periodo de retención se comprueban los requisitos de cumplimiento y conservación de la organización.
• El destinatario y la finalidad están definidos: Un buzón funcional como firewall-reports@example.net suele ser mejor que una dirección personal. Necesita un responsable que revise realmente los informes.

Un PDF puede contener usuarios, direcciones IP, direcciones MAC, direcciones de correo, URLs y eventos de seguridad. Por eso conviene limitar los destinatarios, cifrar el transporte de correo y tener en cuenta la conservación en el buzón. Si se utiliza Data Anonymization para logs e informes, se debe comprobar en el PDF realmente recibido si los datos previstos están anonimizados.

Controlar globalmente Top Users en los informes PDF

El comando de Device Console poco descriptivo system custom-feature controla si los informes PDF generados incluyen también Top Users. El interruptor es global y no dispone de un parámetro para informe o destinatario. Como la ayuda actual de SFOS 22 no indica un valor predeterminado, primero se consulta el estado existente:

system custom-feature show

Con enable se añaden Top Users y con disable se vuelven a eliminar de los PDF generados:

system custom-feature enable
system custom-feature disable

Antes de enable se revisan los destinatarios, la retención y Data Anonymization. Después se utiliza Generate now para crear un PDF real y comprobar que aparecen los usuarios esperados y que las identidades sensibles quedan protegidas como estaba previsto. El interruptor no crea una atribución de usuario que falta ni repara un problema de autenticación o logging. El rollback utiliza disable y se confirma con show y un PDF recién generado.

Preparar el contenido del informe

En este ejemplo, un informe IPS semanal debe mostrar qué ataques se han detectado con mayor frecuencia. Los nombres y valores se adaptan al entorno propio.

1. Abrir Reports > Network & threats > Intrusion attacks.
2. Elegir el periodo deseado.
3. Utilizar Filter para limitar la evaluación a sistemas, reglas o eventos relevantes si es necesario.
4. Seleccionar Generate.
5. Comprobar si el periodo, los hits y la ordenación responden a la pregunta prevista.

La finalidad técnica debe poder explicarse en una frase, por ejemplo: «El equipo de seguridad revisa cada lunes los hits IPS más frecuentes de la semana anterior». Esta afirmación ayuda a decidir qué informe, filtro y destinatario se necesitan realmente.

Distinguir Custom report, Custom view y bookmark

Un Custom report de Reports > Custom limita un único ámbito de datos mediante criterios detallados. Hay informes de web, correo, FTP, usuarios y servidores web. La limitación de los informes web es importante: la búsqueda personalizada solo muestra dominios, URL, categorías y direcciones IP permitidos. Los accesos web bloqueados se comprueban en Reports > Applications & web > Blocked web attempts.

Una Custom view combina varios grupos de informes en una misma vista, por ejemplo, la actividad de Zero-day protection y los usuarios web. Se crea en Reports > Show report settings > Custom view > Add con un nombre y los grupos necesarios, y después aparece en Reports > Custom. La nueva vista debe generarse y revisarse manualmente antes de programarla o compartirla.

Un bookmark, en cambio, guarda una selección recurrente ya filtrada. Un programa puede seleccionar un grupo de informes predeterminado o personalizado, o bien un bookmark. Para el administrador, la mejor opción no es el informe técnicamente más grande, sino la selección más pequeña que responde a la pregunta operativa concreta.

Guardar una selección recurrente como bookmark

Un bookmark resulta útil cuando se quiere programar una selección reutilizable con filtros en lugar de un grupo de informes completo.

1. Abrir el informe ya preparado.
2. Seleccionar Bookmark.
3. Introducir un nombre descriptivo como Weekly-IPS-Review.
4. Elegir un grupo de bookmarks adecuado y guardar.

Si no hay ningún grupo apropiado, se crea en Reports > Show report settings > Bookmark management > Add bookmark group. Un nombre como Weekly-IPS-Review describe mejor la finalidad y el ritmo que Report1.

Después de guardar, se vuelve a abrir el bookmark y se genera otra vez el informe. Así se comprueba que se reutiliza realmente la selección prevista. El periodo exacto del PDF posterior no debe deducirse solo del nombre, sino comprobarse en el PDF generado.

Crear la programación

1. Abrir Reports > Show report settings > Report scheduling.
2. Seleccionar Add.
3. Elegir Report como tipo.
4. Introducir los destinatarios en To email address. Las direcciones múltiples se separan mediante comas.
5. En Report type, seleccionar un grupo de informes o el bookmark preparado.
6. Si se ofrece, elegir la ordenación por Hits o Bytes de acuerdo con la finalidad.
7. En Email frequency, seleccionar Daily o Weekly.
8. Guardar.

El ejemplo utiliza estos valores:

• Destinatario: firewall-reports@example.net
• Report type: bookmark Weekly-IPS-Review
• Ordenación: Hits
• Frecuencia: Weekly

Estos valores no son un estándar general. Para un informe de ancho de banda puede ser más útil ordenar por Bytes, un informe operativo diario necesita Daily y otra sede puede requerir un destinatario o bookmark propio.

Los informes On-box programados se envían como PDF y contienen un máximo de 50 registros. Este límite se aplica al informe enviado por correo; no debe considerarse un archivo completo ni una exportación de todos los datos locales. Para varios firewalls, datos HA consolidados o evaluaciones centrales más largas, Sophos Central Firewall Reporting en Sophos Fusion es la capa más adecuada.

Desde SFOS 21.5 MR1, un informe PDF programado utiliza el idioma de WebAdmin del administrador que creó la programación. Si el destinatario debe recibir el informe en alemán, la programación se crea desde una sesión de WebAdmin en alemán y se comprueba el resultado mediante Generate now.

Además de los informes normales, la programación también ofrece Security audit report y, si se ha configurado la integración, ConnectWise. El Security Audit Report está pensado especialmente para un análisis pasivo con Discover Mode, TAP y SPAN. Estos tipos cumplen otras funciones y no deben seleccionarse solo porque un informe normal esté vacío.

Configurar de forma deliberada programaciones de Security audit y ConnectWise

Un Security audit report es un informe predefinido sobre la actividad relacionada con la seguridad. Su programación contiene estos campos: Organization name para el nombre que aparece en el informe, To email address para los destinatarios separados por comas, Report type para los datos del grupo de informes o del marcador y Email frequency para el envío Daily o Weekly.

Un ConnectWise schedule solo está disponible después de integrar ConnectWise con Sophos Firewall. Configure sus campos exactos del siguiente modo:

• Report: Seleccione uno de los informes ConnectWise preconfigurados: Top sites, Filtered sites, Bandwidth usage o Top attacks.
• Number of records: Defina cuántos registros crea el informe. Elija el número según el objetivo de la revisión, sin suponer que el límite general de 50 registros para informes por correo es el valor deseado para ConnectWise.
• Frequency: Programe el informe diariamente en el intervalo especificado.

Después de guardar cualquiera de estas programaciones especializadas, utilice Generate now y revise el informe entregado. Que la integración esté activa o que la programación aparezca en la lista no demuestra por sí solo que el informe predefinido contenga los registros esperados.

Comprobar el envío y el PDF

Después de guardar no se espera hasta la primera ejecución regular.

1. Comprobar el transporte con Send test mail

En la lista se selecciona la programación, se ejecuta Send test mail, se introduce una dirección de prueba y se selecciona Send. Esta dirección se introduce por separado para la prueba y puede ser distinta de To email address de la programación. Para que la primera prueba sea representativa, se utiliza el mismo buzón funcional. Después se comprueba en ese buzón, el filtro antispam o el seguimiento del servidor de correo si el mensaje se ha aceptado y entregado.

Un correo de prueba correcto confirma la conexión con el servidor de correo configurado y la entrega básica. Todavía no confirma que el informe seleccionado contenga datos ni que pueda generarse como un PDF correcto.

2. Comprobar la ruta completa con Generate now

A continuación se ejecuta Generate now. El firewall genera inmediatamente el informe programado y lo envía a los destinatarios configurados.

En el PDF recibido se comprueban:

• el firewall o la sede correctos;
• el grupo de informes o la selección de bookmark previstos;
• un periodo y marcas de tiempo plausibles;
• una ordenación y cantidad de datos útiles;
• el idioma esperado;
• la representación legible de tablas y gráficos;
• que no se expongan innecesariamente datos de usuarios, red o seguridad.

⚠️ Al actualizar de SFOS 20.0 o anterior a SFOS 21.0 o posterior, los informes anteriores y posteriores a la actualización se almacenan en bases de datos separadas. Si se selecciona únicamente el día de la migración, hay que elegir Data before migration y Data after migration por separado para analizar el día completo. En cambio, un intervalo de fechas que incluya el día de la migración debe dividirse en intervalos anteriores y posteriores a ese día. Al volver a la versión anterior se pierden todos los informes generados desde la actualización, incluso después de actualizar de nuevo. Al comprobar los PDF programados, se debe tener en cuenta este límite entre bases de datos: una entrega de correo correcta no demuestra por sí sola una cobertura continua de la migración.

Comprobar la atribución de fechas después de una interrupción: Al apagar el firewall pueden quedar datos sin procesar. Después del reinicio, los eventos de esos datos pueden atribuirse al día anterior al reinicio en lugar de al día en que ocurrieron, incluso a un día en que el firewall estuvo apagado. Esto afecta a los datos pendientes de procesar, no a todos los eventos de forma general. Por ello, después de una interrupción se genera un PDF nuevo con Generate now y se comprueban con especial atención el periodo y las fechas de los eventos.

Solo entonces se observa la siguiente ejecución regular. La ayuda actual no describe con suficiente detalle la relación exacta entre hora de ejecución, zona horaria y periodo del informe como para asumirla de forma general. Por tanto, el informe generado es la prueba de funcionamiento.

Funcionamiento en un clúster HA

Los datos de informes locales no se sincronizan entre los nodos HA. Cada nodo solo contiene informes del tráfico que procesa. En cuanto el informe generado por el nodo primario o auxiliar contiene al menos una fila de datos en cualquier tabla, ambos appliances envían el informe; si ninguna tabla contiene datos, no se envía ningún informe. Por ello, en un clúster HA pueden llegar dos correos para la misma programación.

Esta entrega no es automáticamente un error. Primero se comparan el remitente, la identidad del appliance, el periodo y el contenido de ambos PDFs. Para una vista consolidada de ambos nodos, Central Reporting es más adecuado que dos informes locales por correo.

Después de un failover HA, la sustitución de un appliance o una actualización de firmware, se vuelve a comprobar Generate now. Así se detecta si una programación sigue visible, pero sus datos, idioma o entrega ya no cumplen las expectativas.

Delimitar errores de forma sistemática

Send test mail falla

El problema se encuentra entonces en la ruta de correo y todavía no en el contenido del informe. En Administration > Notification settings se comprueban DNS, ruta, puerto, autenticación, OAuth, TLS, certificado, remitente y destinatario. El seguimiento o la cuarentena del servidor de correo muestran si el mensaje se ha aceptado o rechazado.

No se debe crear repetidamente la programación. Primero debe llegar de forma fiable un correo de prueba. Los síntomas y las comprobaciones seguras se describen en el artículo sobre notificaciones por correo.

El correo de prueba llega, pero Generate now no entrega un informe

La ruta SMTP queda así confirmada en lo esencial. A continuación se comprueba:

1. ¿Está seleccionado el grupo de informes o bookmark correcto en la programación?
2. ¿Contiene datos el mismo informe cuando se ejecuta manualmente?
3. ¿Está activo On-box Reporting y lo admite el modelo de appliance?
4. ¿Está /var por debajo del umbral de parada de los informes?
5. ¿Están activos el logging y las funciones de protección necesarias para los datos esperados?
6. ¿Aparece el mensaje en el seguimiento, spam o cuarentena del servidor de correo?

En Device Console, dos comandos de solo lectura muestran el estado On-box actual y los umbrales de almacenamiento de informes:

show on-box-reports
show report-disk-usage watermark

Los comandos no modifican nada. El diagnóstico de almacenamiento adicional y el significado de la salida se explican en Gestionar almacenamiento e informes.

El PDF está vacío, incompleto o se muestra incorrectamente

Primero se genera manualmente el mismo informe con el mismo periodo y filtro. Si la evaluación de WebAdmin ya está vacía, faltan datos de informes, logging o eventos coincidentes. Si solo el PDF contiene datos incorrectos o incompletos, se documentan la versión y el build de SFOS, el navegador, la programación, la hora de Generate now y un PDF de ejemplo.

SFOS 22.0 MR2 Build 546 corrige, entre otros, errores relacionados con un PDF vacío del dashboard de tráfico diario sin On-box Reporting y con tablas o gráficos mal representados en PDFs bajo demanda generados en Chrome. Un síntoma parecido en otro build no es automáticamente el mismo error. Antes de realizar cambios se comprueba el build exacto y se compara con un informe generado manualmente.

Para un análisis más profundo, se correlaciona la hora de la prueba con cschelper.log, reportdb.log, garner.log y, si es necesario, postgres.log. El acceso se describe en Sophos Firewall Troubleshooting: Services and Logs. Una sola entrada de log no es motivo suficiente para reiniciar servicios de reporting ni borrar datos de informes.

El Executive report con 1 month no puede descargarse como PDF

Para SFOS 22.0 MR1 Build 490, Sophos documenta en NC-182976 un problema estrictamente delimitado: en Reports > Dashboards > Executive report, la descarga del PDF puede fallar si se selecciona 1 month como periodo. Primero se comprueban el build exacto del firmware, el tipo de informe, el periodo y el formato de salida. Esto no significa automáticamente que otros informes PDF o los informes programados por correo también estén afectados.

En la descripción, Sophos menciona una descarga CSV con un periodo de un día, pero la columna separada Workaround de la KIL sigue indicando None. Por tanto, esta exportación es solo una comprobación alternativa limitada. No sustituye a un informe mensual completo ni confirma el informe mensual o la generación de PDF. Si también fallan otros informes, periodos o formatos, el problema es más amplio que NC-182976; en ese caso se documentan la hora y el navegador y se recopilan los logs indicados anteriormente, en lugar de reiniciar servicios de reporting o eliminar datos de informes.

La lista actual Known Issues muestra SFOS 23.0 EAP0 Build 275 en el campo Fix versions y sigue describiendo como próximas las correcciones para SFOS 23 y SFOS 22.0 MR3. Antes de actualizar, se consultan las notas de la versión actuales para confirmar que exista una versión de destino publicada y compatible con el modelo. Si el mismo síntoma aparece en MR2 o en otro build, no se atribuye automáticamente a NC-182976, sino que se investiga con los datos recopilados.

El correo contiene solo 50 entradas

Este es el límite superior documentado para informes programados por correo. Los filtros y la finalidad se eligen de forma que los 50 registros más importantes respondan a la pregunta operativa concreta. Si se necesitan datos sin procesar completos, un historial más largo o evaluaciones de varios firewalls, resulta más adecuado un flujo de Central Reporting o SIEM.

El mismo informe llega dos veces

En un clúster HA, ambos appliances envían el informe cuando el generado por el appliance primario o auxiliar contiene al menos una fila de datos en alguna tabla. Se comparan el remitente, el appliance y el contenido antes de borrar una programación aparentemente duplicada. En un firewall independiente, en cambio, se comprueba si dos programaciones utilizan la misma selección de informe y el mismo destinatario.