Sophos Firewall : nouveaux XGS et Xstream Protection Plus
Les premiers clients nous interrogent déjà sur Xstream Protection Plus. Que recouvre cette offre et qu’ajoute-t-elle à Xstream Protection ? Le nom circule en tout cas déjà : sur Google, la forme abrégée « Xstream Plus » apparaît dans les extraits de résultats renvoyant à des pages Sophos.
Sophos annonce également de nouveaux pare-feu matériels et une appliance NDR distincte. Au 29 octobre 2026, nous ne disposons pas encore de prix confirmés ni de données fiables sur les débits des nouveaux appareils. Nous vous en informerons dès que ces éléments seront disponibles. Il est toutefois déjà possible d’analyser le nouveau bundle, qui, à notre avis, ne simplifie pas le choix.
Nouveaux modèles XGS et appliance NDR distincte
Quatre nouveaux modèles sont annoncés :
- Sophos Firewall XGS 2380
- Sophos Firewall XGS 3380
- Sophos Firewall XGS 4580
- Sophos Firewall XGS 5580
Sophos souligne que ces nouveaux modèles complètent la gamme et ne succèdent directement à aucune appliance en particulier. Les modèles actuels restent disponibles ; cette annonce ne modifie pas les dates de leur cycle de vie. L’ouverture des commandes des nouveaux appareils est prévue le 4 novembre 2026. La possibilité de commander et la date de livraison effective doivent être vérifiées séparément.
Au vu de notre longue expérience, un renouvellement progressif de la génération resterait néanmoins plausible à plus long terme. Le XGS 2100 appartient à la génération XGS lancée en avril 2021 et a donc environ cinq ans et demi. Il ne dispose pas de ports 10GbE intégrés ; ces connexions peuvent toutefois être ajoutées au moyen de modules Flexi-Port optionnels. Dans le cadre d’un renouvellement de la gamme à plus long terme, une transition organisée et l’écoulement des stocks existants pourraient aussi entrer en ligne de compte. Il s’agit de notre analyse, et non d’une annonce de remplacement du XGS 2100.
La NDR 5500 arrive par ailleurs en tant que matériel dédié à la détection et à la réponse aux menaces réseau, ou Network Detection and Response. Ce n’est pas un pare-feu XGS supplémentaire, mais une plateforme distincte d’analyse du trafic réseau. L’ouverture de ses commandes est prévue le 10 novembre 2026. L’offre concrète devra préciser le niveau de protection et les modules complémentaires nécessaires à son utilisation.
Ce qu’ajoute Xstream Protection Plus
Xstream Protection Plus repose sur Xstream Protection. S’y ajoutent un quota Workspace Protection dépendant du modèle, une durée de conservation prolongée dans Central Firewall Reporting et le passage à Enhanced Plus Support. Workspace comprend Protected Browser, ZTNA, DNS Protection pour les endpoints et Email Monitoring System. C’est donc un ensemble distinct de plusieurs services, dont la configuration s’effectue en complément de celle du pare-feu.
Voici les différences entre les offres, y compris notre Avanet Epic Protection. « Non » signifie que la prestation n’est pas incluse dans l’offre concernée. Notre présentation des bundles de licences Firewall détaille leur périmètre respectif.
| Prestation | Standard Protection | Xstream Protection | Xstream Protection Plus | Avanet Epic Protection |
|---|---|---|---|---|
| Network Protection | Oui | Oui | Oui | Oui |
| Web Protection | Oui | Oui | Oui | Oui |
| Zero-Day Protection | Non | Oui | Oui | Oui |
| Central Orchestration | Non | Oui | Oui | Oui |
| DNS Protection | Non | Oui | Oui | Oui |
| Flux de renseignements sur les menaces MDR/XDR et tiers | Non | Oui | Oui | Oui |
| Central Firewall Reporting | Jusqu’à 7 jours | Jusqu’à 30 jours | Jusqu’à 1 an | Jusqu’à 30 jours |
| Workspace Protection | Non | Non | Quota selon le modèle | Non |
| Enhanced Support | Oui | Oui | Oui | Oui |
| Passage à Enhanced Plus Support | Non | Non | Oui | Non |
| Email Protection sur le pare-feu | Non | Non | Non | Oui |
| Webserver Protection / WAF | Non | Non | Non | Oui |
Les fonctions de flux de renseignements sur les menaces incluses ne constituent par ailleurs pas un abonnement à un service MDR. Une équipe MDR et une fonction du pare-feu restent des prestations différentes.
Quand le pare-feu détermine le nombre d’utilisateurs
On choisit un pare-feu en fonction du trafic, de la connectique et des performances nécessaires. Le nombre de collaborateurs qui ont besoin de Workspace Protection est une autre question. Pourtant, Sophos détermine le quota d’utilisateurs inclus en fonction du modèle de pare-feu. Selon l’entreprise, certaines licences resteront donc inutilisées, ou le quota sera insuffisant et il faudra acheter des licences utilisateur supplémentaires. Il existe des solutions, mais cela complique inutilement le choix et le renouvellement ultérieur.
Pour les modèles XGS actuels, la répartition est la suivante. Une licence de stockage CFR correspond à 100 GB :
| Modèle XGS | Utilisateurs Workspace | Licences de stockage CFR | Capacité CFR |
|---|---|---|---|
| 88(w), 108(w) | 5 | 5 | 500 GB |
| 118(w) | 5 | 10 | 1 TB |
| 128(w), 138 | 10 | 10 | 1 TB |
| 2100, 2300, 3100 | 25 | 10 | 1 TB |
| 3300, 4300, 4500 | 100 | 25 | 2,5 TB |
| 5500, 6500 | 300 | 50 | 5 TB |
| 7500, 8500 | 500 | 100 | 10 TB |
Le reporting inclut une conservation pouvant atteindre un an. Cette durée maximale n’est toutefois utile que tant que le stockage attribué suffit. S’il est saturé avant cette échéance, les données de reporting les plus anciennes sont supprimées en premier. Un an de conservation ne signifie donc pas automatiquement que le stockage peut accueillir une année entière de journaux.
Ce tableau concerne les modèles actuels qui y figurent. Nous n’avons pas encore de confirmation des quotas pour les XGS 2380, 3380, 4580 et 5580 ; ils ne peuvent pas être déduits de ce tableau.
Notre avis
Ce regroupement peut être pertinent lorsque Workspace Protection et une conservation plus longue des données de reporting sont nécessaires en complément de la protection du pare-feu. Une offre commune peut simplifier les achats. Pour nous, l’essentiel est que les prestations et les quotas d’utilisateurs inclus correspondent aux besoins de l’entreprise.
Pour Workspace Protection en particulier, il est donc utile d’examiner les besoins réels. Le dimensionnement adapté du pare-feu et le nombre d’utilisateurs à couvrir ne coïncident pas nécessairement. L’intérêt de Plus par rapport à une sélection de prestations séparées dépend aussi des conditions concrètes proposées.
L’ouverture des commandes des nouveaux appareils XGS est prévue le 4 novembre. Pour porter un jugement définitif, il nous manque encore des prix confirmés et des données fiables sur les débits. Nous vous en informerons dès que ces éléments seront disponibles. Il sera alors possible de déterminer quel matériel et quelle offre présentent un bon rapport qualité-prix pour chaque utilisation.
