Sophos Firewall v22 : aperçu et toutes les nouvelles fonctionnalités

Sophos Firewall v22 mise sur le durcissement, une visibilité claire et des processus opérationnels stables. L’architecture Xstream modernisée, un noyau durci et de nouvelles fonctions opérationnelles aident à réduire les surfaces d’attaque et à simplifier l’administration. Cet article explique toutes les nouveautés de SFOS v22.

Health Check

Le Health Check est le contrôle de configuration intégré à Sophos Firewall v22. Son objectif est de rendre les mauvaises configurations visibles très tôt, avant qu’elles ne deviennent un problème de sécurité ou d’exploitation. Il répond à l’augmentation des menaces visant les infrastructures exposées à Internet et suit l’approche Secure by Design définie dans les lignes directrices de la CISA. Sophos a durci le pare-feu sur plusieurs releases, simplifié l’application des correctifs et amélioré la détection en situation d’attaque. Parmi les éléments distinctifs figurent les hotfixs over-the-air sans downtime ainsi que la surveillance active de la base installée par Sophos afin de détecter les premiers indicateurs d’attaque.

À quoi sert le Health Check Il évalue des dizaines de paramètres par rapport aux benchmarks CIS et aux bonnes pratiques établies. Les domaines de contrôle typiques incluent les chiffrements TLS obsolètes ou non sécurisés, des policies d’administration et d’utilisateurs trop larges, des règles inutilisées ou qui se chevauchent, des services exposés inutilement ainsi que des mesures de durcissement de base comme l’heure, l’authentification et la journalisation. Sophos Firewall v22 facilite ainsi le maintien d’une bonne hygiène des policies et l’élimination des failles involontaires.

Comment fonctionne le Health Check Dans le Control Center, un widget de tableau de bord affiche l’état. Un clic permet d’accéder à la vue détaillée, ou via le menu principal sous « Firewall health check ». Les résultats sont priorisés, expliqués et reliés par drill-down à l’écran de configuration approprié. Les écarts peuvent ainsi être corrigés sans longue recherche.

Comment utiliser le Health Check en exploitation Il doit être exécuté avant les mises en production, après les modifications de policies, après les mises à jour firmware et à intervalles réguliers. Il sert de validation objective dans les processus CAB et fournit des preuves d’audit sur l’hygiène continue des policies.

Le Health Check couvre la qualité de la configuration, pas l’état de santé du matériel. Il ne vérifie pas si les bases de données internes sont cohérentes, ni si la RAM ou le SSD présentent des erreurs d’écriture. Un indicateur d’état visible dans l’interface graphique serait ici un complément utile.

Health Check : Domaines de contrôle en détail

Le Health Check liste tous les points vérifiés dans le tableau de bord, comme un audit de sécurité. Chaque point indique le module, la norme, la gravité, l’état et une action directe. On voit ainsi d’un coup d’œil quelles configurations s’écartent des meilleures pratiques. Une sélection des contrôles les plus importants :

• Synchronized Application Control should be turned on.
• NDR Essentials should be turned on and at least on one interface selected.
• Sophos X-Ops should be turned on. An Action should be set to Log and drop.
• MDR threat feeds should be turned on. An Action should be set to Log and drop.
• A firewall rule should have Synchronized Security Heartbeat settings.
• Security Heartbeat should be turned on.
• Login disclaimer should be turned on.
• Hotfix settings should be turned on.
• Remote sessions should be signed out. Sign-ins should be blocked for the specified unsuccessful attempts.
• Password complexity should be configured for users.
• Password complexity should be configured for administrators.
• DNS Protection should be configured and have an active status.
• MFA should be configured for remote access VPN (IPsec and SSL VPN) sign-ins.
• MFA should be configured for web admin console and VPN portal sign-ins.
• The firewall’s connection with authentication servers should be encrypted.
• Backups should be scheduled.
• Public key authentication should be configured for SSH access to the firewall.
• User portal shouldn’t be accessible from WAN.
• Web admin console shouldn’t be accessible from WAN.
• MFA should be configured for the default admin.
• Notification emails should be configured for system and security events.
• Automatic update should be turned on for pattern download and installation.
• A Web policy should be selected in a firewall rule.
• Zero-day protection should be selected in a firewall rule.
• Intrusion prevention should be turned on. An IPS policy should be selected in a firewall rule.
• An Application control policy should be selected in a firewall rule.
• An SSL/TLS inspection rule should have Action set to Decrypt.
• A firewall rule with Action set to Allow shouldn’t have all the network and service settings set to Any.
• Sophos Central reporting should be turned on.
• The firewall should send its backups to Sophos Central.
• The firewall should be registered for Sophos Central management. Sophos Central management should be turned on.
• NTP server should be configured.

Cette liste montre que le Health Check couvre à la fois les configurations techniques et les directives de sécurité organisationnelles.

Certains points sont sans aucun doute pertinents, d’autres peuvent être discutés. Exemple : « Login disclaimer should be turned on ». Un tel message d’avertissement n’améliore la sécurité que de manière limitée : personne ne le lit vraiment et, dans la pratique, il est souvent simplement validé. Il peut toutefois répondre à des exigences juridiques dans certains environnements, par exemple sous forme de conditions d’utilisation ou de clause de non-responsabilité. D’un point de vue strictement technique, il ne s’agit guère d’un mécanisme de protection, mais plutôt d’un point formel qui signale une certaine discipline de sécurité.

L’état de certains contrôles peut être remplacé manuellement. Un point peut ainsi être marqué comme « Complies » même s’il n’est pas techniquement satisfait. Un symbole ⚠️ apparaît toutefois pour signaler cet état remplacé. La transparence est donc conservée, tout en laissant une certaine marge administrative.

On remarque également que certains contrôles sont fortement liés à Sophos Central, MDR, NDR ou DNS Protection. Du point de vue de Sophos, c’est bien sûr aussi une forme de cross-selling, puisque l’utilité de l’intégration dans son propre écosystème est mise en avant. Beaucoup de ces recommandations apportent néanmoins une réelle valeur ajoutée, par exemple grâce à une administration consolidée ou à une alerte automatisée.

Next-Gen Xstream Control Plane

Avec Sophos Firewall v22, Sophos fait évoluer en profondeur la Xstream Architecture. Alors que le concept initial avait été introduit avec la version 18 pour exploiter pleinement les performances du matériel XGS, cette nouvelle génération vise bien plus que la performance : sécurité, stabilité et pérennité sont au centre.

Une nouvelle fondation pour la sécurité et l’évolutivité

Le Control Plane remanié a été entièrement repensé. Au lieu d’un système monolithique, Sophos mise désormais sur un framework modulaire dans lequel les services centraux comme l’IPS, le Web Filter ou le service SSL Inspection fonctionnent de manière isolée les uns des autres. Chaque service se comporte comme une application distincte au sein du pare-feu et peut être géré ou redémarré indépendamment. Les autres fonctions restent ainsi stables même si un module réagit mal ou plante.

Du point de vue d’un security engineer, c’est une étape décisive : cette architecture réduit les dépendances et limite l’impact d’exploits potentiels sur des composants individuels. Elle crée en même temps la base d’une isolation Zero Trust à l’intérieur du système, un concept que l’on connaissait jusqu’ici surtout des plateformes cloud modernes.

Indépendant du matériel et de l’environnement

L’un des grands avantages de la nouvelle Xstream Architecture est son indépendance complète vis-à-vis du matériel propriétaire. Contrairement à de nombreux concurrents, Sophos Firewall v22 ne repose pas sur des ASIC spécialisés ni sur des puces à fonction fixe. L’architecture fonctionne de façon cohérente sur du matériel physique, des machines virtuelles ou des environnements cloud. Cela garantit un comportement homogène sur toutes les plateformes et facilite l’automatisation en exploitation.

Haute disponibilité améliorée avec auto-réparation

La logique d’auto-réparation dans les clusters HA est également nouvelle. Le Control Plane surveille en permanence l’état des deux systèmes et corrige automatiquement les écarts. Si des différences de configuration ou d’état de synchronisation sont détectées, le pare-feu déclenche lui-même une correction. Cela réduit les situations d’erreur, diminue l’effort de maintenance et améliore sensiblement la disponibilité. En pratique, cela signifie moins de redémarrages imprévus et une performance de cluster plus stable.

Perspective technique et avenir

La nouvelle Xstream Architecture pose les bases de futures fonctions telles que le clustering à n nœuds, des services de sécurité entièrement conteneurisés et une API REST complète pour la gestion à distance et l’automatisation. Sophos Firewall v22 s’oriente ainsi clairement vers une architecture de plateforme proche des principes cloud modernes : orientée services, dynamique et centrée sur la sécurité.

D’un point de vue professionnel, cette transformation va au-delà d’une simple mise à jour technique. Elle change la manière dont les pare-feu seront conçus à l’avenir : moins d’appliances monolithiques, davantage d’infrastructure flexible et orientée services, capable de s’adapter rapidement et d’être gérée de manière automatisée. Pour les exploitants ayant de fortes exigences en matière d’uptime, de conformité et de scalabilité, c’est un progrès décisif.

Je suis entièrement d’accord : le recentrage sur un traitement basé sur le CPU est techniquement très cohérent. Toutes les appliances XGS ne disposent pas d’une NPU pour accélérer le trafic, et les pare-feu virtuels étaient toujours désavantagés sur ce point. Avec la nouvelle architecture, la performance repose davantage sur les CPU modernes, ce qui assure un comportement plus uniforme sur toutes les plateformes. Sur les anciens modèles desktop XGS, la combinaison CPU/NPU était en outre exigeante sur le plan thermique, avec un niveau sonore plus élevé. Les nouvelles générations sont nettement plus silencieuses grâce à la suppression de cette double charge. Ceux qui connaissent encore la comparaison comprennent pourquoi ce retour à l’optimisation CPU est pertinent, tant stratégiquement que pratiquement.

Noyau durci 6.6+

Sophos Firewall v22 utilise un noyau Linux modernisé (v6.6+) pour davantage de sécurité, de performance et de scalabilité. Les points centraux sont une isolation plus stricte des processus et des mitigations complètes contre les attaques par canal auxiliaire ainsi que contre les vulnérabilités CPU telles que Spectre, Meltdown, L1TF, MDS, Retbleed, ZenBleed et Downfall. S’y ajoutent hardened usercopy, Stack Canaries et Kernel Address Space Layout Randomization (KASLR). Cela réduit l’exploitabilité des erreurs mémoire, stabilise le comportement à l’exécution et renforce les fondations de l’architecture Xstream.

Remote Integrity Monitoring

Remote Integrity Monitoring dans SFOS v22 complète le durcissement du noyau par une surveillance continue de l’intégrité du système. En termes simples : il vérifie en arrière-plan si quelque chose change sur le pare-feu alors que cela ne devrait pas. Le capteur Linux intégré pour XDR enregistre les événements pertinents pour la sécurité au niveau du système et des services, par exemple lorsqu’un processus inconnu démarre, lorsque des fichiers de configuration sont modifiés ou des règles exportées, ou lorsque des fichiers critiques sont manipulés.

Ces informations sont envoyées à Sophos Central avec l’heure, l’utilisateur et la source. Là, elles peuvent être liées à d’autres données – par exemple provenant des terminaux, des passerelles de messagerie ou des services d’identité. Cela permet aux administrateurs de détecter plus rapidement les comportements inhabituels et de réagir de manière ciblée avant qu’un problème plus important ne survienne.

Dans le quotidien d’un administrateur IT, cela signifie que toute tentative discrète de modifier quelque chose sur le pare-feu ou de manipuler un fichier est détectée et signalée. La fonction aide donc à repérer très tôt les attaques silencieuses ou les erreurs de configuration, sans contrôle manuel permanent. Elle aide également Sophos à surveiller de manière centralisée le comportement des pare-feu installés et à identifier des schémas ou problèmes de sécurité potentiels.

Active Threat Response (Threat Feeds pour WAF et NAT)

Avec la feature request SFSW-I-2618, un comportement attendu depuis longtemps a enfin été mis en œuvre. Les Threat Feeds sont des listes dynamiques d’adresses IP malveillantes connues, mises à jour en continu par des fournisseurs de Threat Intelligence comme nous (Avanet Threat Feeds). Ils servent à bloquer proactivement les attaques provenant d’Internet avant même qu’elles n’atteignent un service.

Jusqu’à présent, ces feeds étaient toutefois utilisés exclusivement pour protéger les portails Sophos. Les règles NAT et WAF n’étaient pas concernées – ce qui, en pratique, ressemblait moins à une fonction manquante qu’à un bug.

Avec Sophos Firewall v22, cette limitation est désormais levée. Les Threat Feeds sont désormais automatiquement appliqués aux règles NAT et WAF. Cela signifie : dès qu’une connexion provenant d’une adresse IP d’un flux est détectée, le pare-feu la bloque automatiquement – même pour les redirections ou les règles de serveur web. Il n’est donc plus nécessaire de maintenir des règles séparées ou des solutions de contournement.

Ce changement est un grand progrès, car les Threat Feeds protègent désormais aussi les services productifs comme les serveurs web et contribuent directement à la détection et à la défense contre les attaques. Le pare-feu réagit ainsi en temps réel aux menaces actuelles, sans intervention manuelle. C’est un détail discret, mais techniquement important, qui augmente encore nettement la valeur de sécurité de Sophos Firewall v22.

Améliorations NDR

Pour le trafic sortant, les correspondances d’IP source avec NDR Essentials et les flux externes sont prises en charge pour identifier et bloquer les appareils compromis et non gérés. Le score de menace NDR Essentials apparaît directement dans les journaux. De plus, depuis SFOS v21.5 MR1, la région du centre de données NDR Essentials peut être explicitement sélectionnée ; par défaut, la région avec la latence la plus faible est utilisée.

Contrôle d’accès API

L’accès à l’API de gestion peut être limité à des objets IP explicites. Jusqu’à 64 entrées permettent une séparation propre entre les workers d’automatisation, les réseaux de management et les accès partenaires externes. Pendant les fenêtres de changement, l’accès peut être élargi temporairement puis réduit à nouveau. Recommandation : autoriser uniquement les réseaux de management dédiés, activer la journalisation et vérifier régulièrement les accès. La configuration s’effectue dans SFOS v22 sous Administration.

Mises à jour du firmware via SSL avec épinglage de certificat

SFOS v22 valide les serveurs de mise à jour via SSL et certificate pinning. Cela réduit le risque d’une infrastructure de mise à jour manipulée. Dans les environnements avec des egress policies strictes, les FQDN cibles doivent être ajoutés aux allowlists afin que les mises à jour fonctionnent de manière fiable.

HTTP/2 et TLS 1.3 pour l’accès aux appareils

La console d’administration Web, le portail VPN et le portail utilisateur utilisent désormais HTTP/2 et TLS 1.3. Ces deux technologies garantissent que les connexions sont établies plus rapidement, sont plus stables et mieux chiffrées. La différence est particulièrement visible lors de la connexion et des chargements de pages dans l’interface d’administration Web, qui réagissent nettement plus vite.

HTTP/2 regroupe plusieurs requêtes dans une seule connexion, ce qui réduit les temps d’attente entre le client et le serveur. TLS 1.3 fournit en parallèle un chiffrement moderne avec un handshake plus court et une sécurité renforcée. Dans les environnements réseau plus anciens, où d’anciens pare-feu ou systèmes proxy sont encore utilisés, il convient de vérifier brièvement la compatibilité avant l’activation.

Surveillance avec sFlow et valeurs matérielles SNMP

sFlow permet l’échantillonnage du trafic vers des collecteurs centraux pour détecter les pics de volume, les flux inattendus et les anomalies en temps réel. Le taux d’échantillonnage standard est de 400, minimum 10. Jusqu’à 5 collecteurs sont pris en charge. sFlow peut être activé sur les interfaces physiques, les alias et les interfaces VLAN. Remarque : FastPath est désactivé sur l’interface de surveillance. En outre, SFOS v22 fournit des mesures matérielles SNMP telles que la température du processeur et du NPU, la vitesse des ventilateurs, l’état de l’alimentation à partir du XGS 2100 ainsi que les valeurs de puissance PoE pour tous les modèles XGS avec PoE, sauf XGS 116(w). Un fichier MIB peut être téléchargé directement dans l’interface utilisateur. Choisissez les intervalles d’échantillonnage et d’interrogation de manière à ce que les liens principaux restent visibles sans surcharger le collecteur.

Meilleure utilisation et fonctions de recherche

Avec SFOS v22, l’interface devrait réagir beaucoup plus rapidement. Lors du passage entre les menus et les onglets, il n’est plus nécessaire d’attendre que la page soit entièrement rechargée.

Lors de mes tests, aucune amélioration n’a été ressentie. Néanmoins, il est réjouissant que l’on travaille sur la vitesse de l’interface utilisateur. Il existe encore un grand potentiel ici, en particulier lors de l’enregistrement des règles de pare-feu ou du chargement des vues d’interface, où il y a encore des retards notables.

Les interfaces XFRM peuvent désormais être filtrées et recherchées directement dans l’interface. Avec de nombreuses entrées, elles sont automatiquement divisées en pages, ce qui améliore considérablement la vue d’ensemble et la gestion des grandes configurations IPsec.

Des améliorations mineures se font également sentir au quotidien : Les paramètres du serveur NTP sont désormais réglés par défaut sur « Use pre-defined NTP server ».

Fonctions proches de l’UTM dans SFOS

Pour tous ceux qui n’ont pas encore basculé de SG UTM vers SFOS, la version 22 apporte une fonctionnalité manquante. Cela inclut la prise en charge de la MFA dans le WAF, des algorithmes OTP modernes tels que SHA-256 et SHA-512 ainsi que des journaux de piste d’audit avec affichage avant/après. Ces extensions comblent des lacunes importantes par rapport à l’UTM précédent et facilitent considérablement la transition. Donc, si vous hésitez encore à migrer, vous trouverez désormais presque toutes les fonctionnalités habituelles dans SFOS v22 – avec une technologie moderne et une meilleure intégration.

Journaux de piste d’audit en détail

La phase 1 enregistre chaque modification des règles de pare-feu, des objets et des interfaces. Les journaux peuvent être téléchargés dans le menu Diagnostics > Logs et montrent clairement ce qui a été modifié exactement – y compris les valeurs avant et après l’ajustement. Dans les versions futures, ces modifications seront affichées directement dans le visualiseur de journaux, de sorte que les différences puissent être vues immédiatement sans exportation. Cela facilite la traçabilité et fait gagner du temps lors de l’analyse des modifications.

Instant Web Category Alerts

Des notifications automatiques peuvent être configurées pour les catégories web restreintes. Ces messages informent à intervalles courts, par exemple toutes les cinq minutes, des tentatives d’accès aux sites web bloqués. Chaque message contient des détails tels que l’heure, l’utilisateur, la catégorie et le domaine appelé. Cela garantit plus de transparence et facilite le suivi si des pages non autorisées sont consultées à plusieurs reprises. Cette fonction est particulièrement utile dans les environnements avec des directives claires, comme dans les écoles ou les organisations avec des règles Internet fixes. Les violations sont automatiquement documentées et peuvent être tracées si nécessaire.

Mise à niveau vers SFOS v22 : Chemins, durée et remarques

SFOS v22 apporte des changements profonds à l’architecture du système. Pour cela, le firmware nécessite un peu plus d’espace de stockage dans la partition racine. Pour la plupart des appareils (environ 98 pour cent), la mise à niveau se déroule automatiquement et sans intervention. Les modèles à partir du XGS 2100 disposent déjà de suffisamment de mémoire et se mettent à jour directement.

Pour les modèles de bureau et virtuels XGS avec une partition plus petite (1 Go), la mémoire est automatiquement augmentée lors de la mise à niveau. Par conséquent, le processus prend un peu plus de temps, généralement entre deux et dix minutes. Seuls quelques systèmes – environ trois pour cent – nécessitent une préparation manuelle, par exemple la suppression d’anciens rapports ou journaux pour créer suffisamment d’espace.

Les appareils avec un firmware SSD plus ancien doivent d’abord le mettre à jour avant que la mise à niveau vers la version 22 ne soit possible. Les installations virtuelles très anciennes qui reposent encore sur de petits disques durs ou des versions SFOS plus anciennes (avant la version 18) nécessitent des étapes supplémentaires. Dans certains cas, une mise à jour intermédiaire vers la version 21 MR2 est d’abord nécessaire avant que la mise à niveau ne réussisse. Si le support de données est trop petit, seule la réinstallation avec un disque dur plus grand reste possible.

Les instructions sur toutes les étapes nécessaires apparaissent automatiquement dans l’interface du pare-feu via des messages dans le centre de contrôle, par e-mail et par des symboles d’avertissement dans Sophos Central. Ceux-ci affichent également un code de référence qui renvoie directement à l’article de la base de connaissances approprié. Après une préparation réussie, l’avertissement disparaît en une heure environ. Des commandes CLI supplémentaires sont également disponibles à des fins de diagnostic.

• Sophos KB : Exigences et résolution pour la mise à niveau vers SFOS 22.0 et versions ultérieures

Conclusion

Sophos Firewall v22 convainc par une base de sécurité sensiblement renforcée, une structure modulaire et une exploitation plus stable. Le Health Check est un outil bien conçu qui aide à vérifier systématiquement les configurations et à respecter les bonnes pratiques. Le nouveau Control Plane assure des upgrades plus fluides et davantage de fiabilité en exploitation. Les protocoles modernes et la télémétrie étendue rendent l’analyse et le troubleshooting nettement plus efficaces.

Nous nous réjouissons des progrès évidents de Sophos Firewall v22, mais nous souhaitons toujours que l’on travaille sur le clonage et le regroupement des règles NAT, comme on le connaît pour les règles de pare-feu. Il y a environ un an, nous avons collecté et publié nos souhaits. Depuis lors, beaucoup de choses se sont améliorées, mais de notre point de vue, certaines fonctions manquent encore. Nous espérons qu’elles seront mises en œuvre dans les versions futures.

FAQ

Liens supplémentaires

• Avanet : Threat Intelligence Feeds pour Sophos Firewall
• Sophos News : Sophos Firewall v22 Early Access
• Sophos Community : Annonces SFOS v22 EAP

Sources

1. Nouvelles fonctionnalités clés du système d’exploitation Sophos Firewall v22
2. Sophos Firewall v22 est désormais disponible en accès anticipé, Sophos News
3. Sophos Firewall v22 EAP est maintenant disponible, Sophos Community, 15.10.2025,