Aller au contenu
Avanet
Sophos UTM 9.5 - Nouvelles fonctionnalités pour Sandstorm et le WAF

Sophos UTM 9.5 - Nouvelles fonctionnalités pour Sandstorm et le WAF

La nouvelle version du firmware UTM 9.5 est disponible depuis le 4 mai 2017. Alors que, pour le SFOS des XG Firewalls, les efforts portent exclusivement sur la correction de bugs afin de garantir la stabilité, UTM bénéficie, elle, de nouvelles fonctionnalités dans cette dernière version.

La liste des nouveautés est relativement courte, mais elle apporte malgré tout des améliorations intéressantes. En revanche, l’intégration de « Let’s Encrypt », souvent réclamée par nos clients, se fait encore attendre. Avec un peu de chance, elle arrivera avec la v9.6.

Voici la liste des nouvelles fonctionnalités :

  • WAF URL redirection
  • WAF configurable TLS version
  • WAF true file type detection
  • WAF templates
  • Sophos Sandstorm configuration of data center
  • Sophos Sandstorm file exceptions
  • RESTful API to configure UTM
  • AWS CloudWatch Logs Agent
  • 64-bit PostgreSQL database
  • Email notification for expiring certificates
  • Support Access for SSH
  • SNMP monitoring of the file system

Diverses améliorations de fonctions importantes

Pour celles et ceux qui souhaitent un peu plus de détails sur ces nouveautés, je reviens ci‑dessous plus en profondeur sur certains points de la liste.

Sophos Sandstorm

  • L’emplacement du datacenter peut désormais être sélectionné manuellement : vous n’êtes plus obligé de vous fier à la détection de localisation basée sur le DNS.
  • Le « Sandstorm activity reporting » a été amélioré pour les pièces jointes aux e‑mails.
  • Vous pouvez maintenant définir des exceptions pour certains types de fichiers afin qu’ils ne soient pas envoyés à Sophos Sandstorm.

Web Application Firewall

  • Avec la « WAF URL Redirection », vous pouvez rediriger le trafic d’une URL protégée par la WAF vers un autre système backend ou une autre URL.
  • Des modèles (« templates ») de protection WAF et de stratégies d’authentification ont été ajoutés pour des services Microsoft génériques, afin d’assurer à la fois protection et authentification.
  • Il est désormais possible de configurer la version minimale de TLS pour renforcer la sécurité.
  • Prise en charge du « WAF Proxy Protocol » pour utiliser les informations d’adresse IP client dans l’en‑tête ProxyProtocol, ce qui permet de prendre des décisions basées sur des règles (« policies ») et d’améliorer la journalisation.
  • Le « True File Type Scanning » vous permet de bloquer les uploads et downloads en fonction du type MIME.

Management et reporting

  • Téléchargez l’intégralité des journaux UTM dans une seule archive.
  • Le « Support Access » avec SSH étend la fonctionnalité « Support Access » existante.
  • Base de données PostgreSQL 64 bits pour générer plus rapidement des rapports avec de grands volumes de données. La base existante est automatiquement migrée.
  • Vous êtes désormais averti 30 jours avant l’expiration d’un certificat, via WebAdmin et par e‑mail, ce qui vous laisse suffisamment de temps pour le renouveler.
  • Vous pouvez maintenant aussi configurer Sophos UTM 9 via des API RESTful.

Corrections de bugs

La liste des bugs corrigés est nettement plus fournie :

  • NUTM-6646 [AWS] REST API panic when unlocking unlocked mutex
  • NUTM-6657 [AWS] Configure AWS profiles via WebAdmin
  • NUTM-6696 [AWS] Configure CloudWatch support via WebAdmin
  • NUTM-6708 [AWS] Cloud update not working with conversion deployments
  • NUTM-6814 [AWS] Rest API is accessible with default password if basic setup has not completed
  • NUTM-6887 [AWS] REST API panic when inserting into node which is not of type array
  • NUTM-7032 [AWS] SignalException not handled for SecurityGroupsManagement#update
  • NUTM-7055 [AWS] queen_configuration_management / aws_resource_management SIGUSR1 handling
  • NUTM-7056 [AWS] LocalJumpError
  • NUTM-7057 [AWS] aws_set_sd_check AWS::EC2::Errors::RequestLimitExceeded
  • NUTM-7061 [AWS] Connection refused - connect(2) for “localhost” port 4472
  • NUTM-3194 [Access & Identity] incorrect SSH logins trigger backend authentication requests
  • NUTM-3222 [Access & Identity] RED10/50: DNS port open on WAN interfaces
  • NUTM-3260 [Access & Identity] User Portal - IPsec Windows Support
  • NUTM-4149 [Access & Identity] [RED] Use Sophos NTP pool servers
  • NUTM-4323 [Access & Identity] NULL pointer deref in red_nl_cmd_tunnel_dump
  • NUTM-4705 [Access & Identity] Don’t use DNS server from the RED branch as an ISP forwarder
  • NUTM-4852 [Access & Identity] [RED] flock() on closed filehandle $fhi at /<var/confd/confd.plx>Object/itfhw/red_server.pm line 563.
  • NUTM-4994 [Access & Identity] STAS creates users even if automatic user creation is disabled
  • NUTM-5134 [Access & Identity] [OTP] User Portal should recommend Sophos Authenticator
  • NUTM-5925 [Access & Identity] [RED] prevent configuration for VLAN for Split modes
  • NUTM-6387 [Access & Identity] HTML5 VNC connection not disconnecting
  • NUTM-6641 [Access & Identity] [OTP] user can select algorithm for automatic tokens
  • NUTM-6668 [Access & Identity] [IPsec] L2TP/Cisco policy changes do not update ipsec.conf
  • NUTM-6749 [Access & Identity] RED15w does not send split DNS traffic over RED tunnel
  • NUTM-5965 [Basesystem] Sensors command on SG125w doesn’t show hardware fan RPM
  • NUTM-6468 [Basesystem] BIND Security update (CVE-2016-9131, CVE-2016-9147, CVE-2016-9444)
  • NUTM-6718 [Basesystem] Update NTP to 4.2.8p9
  • NUTM-6846 [Basesystem] Linux kernel: ip6_gre: invalid reads in ip6gre_err() (CVE-2017-5897)
  • NUTM-6847 [Basesystem] BIND Security update (CVE-2017-3135)
  • NUTM-6902 [Basesystem] Linux kernel: ipv4 keep skb->dst around in presence of IP options (CVE-2017-5970)
  • NUTM-7048 [Basesystem] Implement software workaround for Intel CPUs
  • NUTM-7067 [Basesystem] Update OpenSSH to openssh-6.6p1
  • NUTM-7370 [Basesystem] Bootsplash still shows 9.4 instead of 9.5
  • NUTM-7653 [Basesystem] Internal SSL certification verification broken
  • NUTM-5658 [Confd] Stripped restore unaccessable if default internal interface is removed
  • NUTM-3062 [Email] Mails From mail spool gets quarantined because of “500 Max connection limit reached” in cssd
  • NUTM-4753 [Email] Support recipient verification with multiple AD servers
  • NUTM-5350 [Email] Per user blacklist does not apply until smtp service restarts
  • NUTM-5823 [Email] Scanner timeout or deadlock for all mails with a .scn attachment
  • NUTM-5892 [Email] SMTP Exception doesn’t allow ‘&’ sign within the email address
  • NUTM-6135 [Email] DLP custom expression doesn’t get triggered if the email body contains certain strings
  • NUTM-6355 [Email] Email not blocked with expression list
  • NUTM-4474 [Kernel] Kernel panic - not syncing: Fatal exception in interrupt
  • NUTM-6358 [Kernel] Kernel: unable to handle kernel NULL pointer dereference at 0000000000000018
  • NUTM-4969 [Network] Uplink does not recover from error state
  • NUTM-5314 [Network] 10gb SFP+ flexi module interface fails when under load
  • NUTM-5428 [Network] Bridge interface can not acquire Dynamic IPv6 address correctly. This interface repeats up/down.
  • NUTM-5831 [Network] Changing static IP on interface does not take effect immediately
  • NUTM-5861 [Network] IPv4 static address gets deleted from confd (and WebAdmin) once IPv6 on the same interface fails to obtain dynamic address
  • NUTM-6077 [Network] Static route on bridge interface disappears after rebooting the UTM
  • NUTM-6807 [Network] SSL VPN not being redistributed into OSPF
  • NUTM-6901 [Network] Eth0 is removed while configuring bridge interface
  • NUTM-2420 [WAF] Remove session management from basic authentication
  • NUTM-5603 [WAF] Issue with expired lifetime of WAF connections without any hint
  • NUTM-5628 [WAF] WAF - Provide import and export options for HTTPS domain list
  • NUTM-5640 [WAF] GUI issue when adding wildcard certificate into Virtual Webservers
  • NUTM-6156 [WAF] UTM still fails scan for CVE-2016-2183 (SWEET32) after update to 9.408
  • NUTM-6294 [WAF] WAF - Naming collisions for default profiles
  • NUTM-6522 [WebAdmin] SMC Test failed after Settings are applied
  • NUTM-6788 [WebAdmin] Add support for SG105W, SG135W and SG230 in WebAdmin
  • NUTM-7337 [WebAdmin] Fix appliance picture for SG105w N9
  • NUTM-6467 [Web] FTP connection fails when using transparent FTP Proxy
  • NUTM-6732 [Web] Certificate issue with transparent Web Proxy - “unable to get local issuer certificate”
  • NUTM-6876 [Web] Remove insecure RC4 from default cipher list for Web Protection HTTPS scanning on upgrade to 9.5 or restore of pre-9.5 backup
  • NUTM-7586 [Web] Chrome v58 and higher fail verification with HTTPS scanning enabled
  • NUTM-5638 [WiFi] RED15w - integrated AP isn’t shown as pending in transparent / split mode
  • NUTM-5786 [WiFi] RED15w - if more then one SSID is configured only one is working correctly
  • NUTM-6215 [WiFi] Issue when roaming between wireless with some clients
  • NUTM-6335 [WiFi] VLAN fallback not working for integrated AP from RED15w
  • NUTM-6448 [WiFi] AP55 stuck as inactive
  • NUTM-6511 [WiFi] AP does not get IP address on 100 Mbit ethernet link

Comment obtenir Sophos UTM 9.5 ?

La mise à jour est disponible gratuitement pour tous les clients UTM. Si elle ne vous est pas encore proposée automatiquement, vous pouvez la télécharger directement depuis le Sophos Webserver.

David

David

David est responsable des contenus, de la structure et de la mise en oeuvre numerique chez Avanet. Il veille a rendre les sujets techniques complexes clairs, precis et optimises pour la recherche.