Pour commencer, quand je parle de XG Firewall, je parle de la s\u00e9rie XG Appliance avec le Sophos Firewall OS (SFOS). Mais nous g\u00e9rons \u00e9galement des SG Appliances sur lesquelles nous avons simplement install\u00e9 le SFOS. Cela fonctionne parfaitement. \ud83d\ude42<\/p><\/blockquote>\n\n
Apr\u00e8s avoir r\u00e9alis\u00e9 plusieurs projets avec le pare-feu XG, je voulais partager avec vous les 7 raisons qui font que le pare-feu XG est \u00e0 mon avis un meilleur choix que la s\u00e9rie SG avec le syst\u00e8me d’exploitation UTM. Avec cet article, je souhaite donc apporter ma contribution au d\u00e9bat UTM vs. XG<\/strong>. \ud83e\udd4a<\/p>\n\n Aujourd’hui, lorsque je cherche une nouvelle application pour mon smartphone ou pour mon ordinateur, je pr\u00eate une attention particuli\u00e8re \u00e0 la date de la derni\u00e8re mise \u00e0 jour de l’application. Si je ne trouve pas de changelog, je consulte le compte social, par exemple Twitter. Toute activit\u00e9 de plus d’un an est morte pour moi et l’application n’arrive d\u00e9finitivement pas sur mon smartphone ou mon ordinateur.<\/p>\n\n Il est vrai qu’avec le pare-feu UTM, ce n’est pas aussi grave. Mais les cycles de mise \u00e0 jour ont \u00e9t\u00e9 extr\u00eamement \u00e9tendus. Auparavant, l’UTM faisait l’objet d’une mise \u00e0 jour quasiment tous les mois. Aujourd’hui, c’est encore bien tous les quatre mois et il n’y a pratiquement plus de nouvelles fonctions.<\/p>\n\n La raison en est la suivante : Sophos compte environ 300 d\u00e9veloppeurs qui travaillent sur les syst\u00e8mes d’exploitation SFOS et UTM. Mais seuls environ 5% de ces d\u00e9veloppeurs travaillent encore sur le syst\u00e8me d’exploitation UTM. Les autres travaillent sur le pare-feu XG. On voit donc ici aussi du c\u00f4t\u00e9 du fabricant o\u00f9 se situent les priorit\u00e9s.<\/p>\n\n De temps en temps, une nouvelle fonction redonne un peu d’espoir aux utilisateurs d’UTM. Mais en fait, cela fait longtemps que l’on cherche une recette pour faire aimer la XG aux fid\u00e8les sans les perdre au profit d’un autre fabricant. En tant qu’ancien utilisateur d’UTM, je sais toutefois qu’on ne change pas si vite de syst\u00e8me si ce n’est pas vraiment n\u00e9cessaire. Ainsi, tant que l’UTM n’est pas d\u00e9finitivement abandonn\u00e9, la majorit\u00e9 n’a tout simplement aucune raison de changer.<\/p>\n\n Si l’on regarde la feuille de route des deux syst\u00e8mes d’exploitation, la liste pour le SFOS est extr\u00eamement longue et les plans vont bien au-del\u00e0 de 18 mois. Dans le cas de l’UTM, des fonctions ont \u00e9t\u00e9 retir\u00e9es de la feuille de route par le pass\u00e9 ou ont \u00e9t\u00e9 repouss\u00e9es toujours plus loin. IKEv2 en est un exemple frappant. Cette fonctionnalit\u00e9, qui figurait depuis longtemps sur la feuille de route, a \u00e9t\u00e9 repouss\u00e9e \u00e0 plusieurs reprises et a m\u00eame fini par en \u00eatre totalement retir\u00e9e. Apr\u00e8s un toll\u00e9 au sein de la communaut\u00e9, il a \u00e9t\u00e9 ajout\u00e9 \u00e0 nouveau et devrait maintenant \u00eatre disponible dans la version 9.8 l’ann\u00e9e prochaine.<\/p>\n\n Avec le syst\u00e8me d’exploitation Sophos Firewall, la situation est compl\u00e8tement diff\u00e9rente et c’est la premi\u00e8re raison pour laquelle nous aimons ce syst\u00e8me. Toutes les sept semaines environ, nous pouvons nous r\u00e9jouir des nouvelles versions de maintenance MR<\/em> et une \u00e0 deux fois par an, nous avons droit \u00e0 une version MINOR<\/em> avec de nombreuses nouvelles fonctions. Le Sophos Firewall OS a donc \u00e9volu\u00e9 de \u00ab\u00a0bon\u00a0\u00bb \u00e0 \u00ab\u00a0tr\u00e8s bon\u00a0\u00bb au cours des derniers mois. Le syst\u00e8me n’est pas encore tout \u00e0 fait l\u00e0 o\u00f9 il devrait \u00eatre et pr\u00e9sente encore quelques lacunes. Mais pour un OS aussi jeune, les progr\u00e8s sont tout de m\u00eame tr\u00e8s importants !<\/p>\n\n Le mat\u00e9riel Sophos XG Firewall et celui de la s\u00e9rie SG sont identiques en termes de CPU, de RAM, de m\u00e9moire et de connectivit\u00e9. Une petite exception est ici la Sophos XG 86 et XG 106, qui n’existe pas ainsi dans la s\u00e9rie SG. Les deux plus petits mod\u00e8les seraient ici les SG 85 et SG 105, qui disposent toutefois de moins de RAM et de m\u00e9moire que les XG 86 et XG 106. Mais en principe, il est possible d’installer sans probl\u00e8me le SFOS du pare-feu XG sur un mat\u00e9riel SG. La licence peut alors \u00eatre migr\u00e9e 1:1.<\/p>\n\n Nous avons expliqu\u00e9 comment installer le SFOS sur une Sophos SG Appliance dans un KB Post : InstallerSophos XG Firewall OS sur une SG Appliance<\/a><\/p>\n\n L’ann\u00e9e prochaine, une nouvelle s\u00e9rie de mat\u00e9riel est attendue, qui r\u00e9pond actuellement au nom de \u00ab\u00a0XGS\u00a0\u00bb. Nous ne pouvons pas encore dire \u00e0 ce stade si elle remplacera la s\u00e9rie XG. En tout \u00e9tat de cause, seul le SFOS est encore cit\u00e9 comme syst\u00e8me d’exploitation compatible. Aucune nouvelle version n’est pr\u00e9vue pour la s\u00e9rie SG.<\/p>\n\n Ce qui parle aussi clairement en faveur d’un pare-feu XG avec SFOS, du moins pour le moment, c’est le support des nouveaux Access Points APX ! Les Access Points, qui ont d\u00e9j\u00e0 \u00e9t\u00e9 lanc\u00e9s sur le march\u00e9 en juillet 2018 et qui disposent de la nouvelle norme Wave 2, ne sont encore aujourd’hui compatibles qu’avec les pare-feux XG et Central. Sophos a toujours affirm\u00e9 qu’il ne rendrait jamais les Access Points APX compatibles avec l’UTM. Pour nous, cette d\u00e9marche a toujours \u00e9t\u00e9 parfaitement logique ! Il s’agit de mat\u00e9riel NextGen qui n’a \u00e9t\u00e9 con\u00e7u que pour les pare-feu NextGen.<\/p>\n\n En secouant la t\u00eate, nous pouvons cependant vous annoncer que Sophos a fait marche arri\u00e8re sur ce plan. Le support des Access Points APX va arriver pour l’UTM ! Le support est pr\u00e9vu pour UTM 9.7, dont la sortie est pr\u00e9vue pour la fin de l’ann\u00e9e.<\/p>\n\n Le syst\u00e8me de licence du pare-feu XG n’est pas compl\u00e8tement diff\u00e9rent de celui de l’UTM. N\u00e9anmoins, il y a quelques avantages importants.<\/p>\n\n La licence de base pour une appliance pare-feu XG est incluse gratuitement. Vous d\u00e9couvrirez les fonctions qu’elle contient dans un article s\u00e9par\u00e9 sur la licence de base<\/a>. Voici toutefois les principales fonctions dont vous pourrez profiter gratuitement :<\/p>\n\n Vous connaissez certainement le bundle FullGuard<\/strong>, qui d\u00e9bloque tous les modules sauf Sandstorm sur le pare-feu. Avec le bundle FullGuard Plus<\/strong>, vous recevez \u00e9galement Sandstorm.<\/p>\n\n Pour la s\u00e9rie XG, il existe en outre le fameux bundle EnterpriseGuard<\/strong>. Ce bundle est une v\u00e9ritable alternative au bundle FullGuard<\/strong>, car il couvre d\u00e9j\u00e0 les besoins de la plupart des clients. Avec le bundle EnterpriseGuard<\/strong>, vous obtenez la Web Protection r\u00e9seau et Web Protection, y compris le support Sophos Premium. La protection sans fil est en effet d\u00e9j\u00e0 incluse gratuitement dans la licence de base. Ainsi, seule une minorit\u00e9 de clients doit encore recourir au bundle FullGuard<\/strong>, plus on\u00e9reux, s’il existe encore un r\u00e9el besoin de protection des e-mails et des serveurs web.<\/p>\n\n Passons maintenant \u00e0 la partie plus technique, qui explique pourquoi, \u00e0 mes yeux, le SFOS a une longueur d’avance sur le syst\u00e8me d’exploitation UTM.<\/p>\n\n L’ensemble des r\u00e8gles relatives aux pare-feux est devenu beaucoup plus clair chez SFOS. Si l’on dispose de plus de 10 r\u00e8gles de pare-feu, ce qui devrait \u00eatre le cas dans la plupart des environnements, il est possible de les regrouper de mani\u00e8re optimale dans le SFOS. La capture d’\u00e9cran suivante de mon pare-feu XG \u00e0 la maison devrait \u00e9galement illustrer ce point. Ici, tous les appareils IoT ont leur propre r\u00e9seau et les r\u00e8gles de pare-feu correspondantes sont toutes rassembl\u00e9es dans un groupe.<\/p>\n\n Si l’on examine ensuite un groupe de plus pr\u00e8s, on d\u00e9couvre rapidement quelles r\u00e8gles de pare-feu individuelles laissent encore passer du trafic et quelles r\u00e8gles ne sont peut-\u00eatre plus utilis\u00e9es. Cette repr\u00e9sentation permet d’identifier et de supprimer les r\u00e8gles superflues.<\/p>\n\n Contrairement \u00e0 l’UTM, je peux donner un nom propre \u00e0 une r\u00e8gle de pare-feu dans le SFOS. Il est \u00e9galement possible d’ajouter des commentaires plus longs \u00e0 l’int\u00e9rieur d’une r\u00e8gle, par exemple pour indiquer qui a cr\u00e9\u00e9 cette r\u00e8gle et pourquoi elle a \u00e9t\u00e9 cr\u00e9\u00e9e \u00e0 l’origine.<\/p>\n\n En ce qui concerne les r\u00e8gles de pare-feu, je pourrais th\u00e9oriquement vous citer encore bien d’autres avantages qui soulignent pourquoi je ne reviendrais plus jamais \u00e0 un UTM. Mais je m’en tiendrai aux principaux arguments cit\u00e9s ci-dessus, qui devraient d\u00e9j\u00e0 convaincre tout administrateur de pare-feu. \ud83d\ude42<\/p>\n\n M\u00eame si de nombreuses am\u00e9liorations ont \u00e9t\u00e9 apport\u00e9es au SFOS en ce qui concerne les r\u00e8gles de pare-feu, le SFOS pr\u00e9sente un inconv\u00e9nient tr\u00e8s g\u00eanant par rapport \u00e0 l’UTM. L’enregistrement d’une r\u00e8gle de pare-feu prend 4 \u00e0 10 bonnes secondes sur les pare-feu XG 86 \u00e0 XG 135 ! Cette situation devrait d’abord \u00eatre am\u00e9lior\u00e9e dans la v18, puis compl\u00e8tement corrig\u00e9e dans la v19.<\/p><\/blockquote>\n\n M\u00eame apr\u00e8s plusieurs ann\u00e9es sur le pare-feu XG, la visionneuse de logs est toujours un must absolu ! Il est ainsi possible de v\u00e9rifier rapidement et facilement les logs via l’interface graphique. Mais avant que je ne m’\u00e9tende trop sur le sujet, regardez simplement la vid\u00e9o suivante :<\/p>\n\n01 – D\u00e9veloppement<\/h2>\n\n
02 – Mat\u00e9riel informatique<\/h2>\n\n
03 – Licence<\/h2>\n\n
Licence de base<\/h3>\n\n
EnterpriseGuard Bundle<\/h3>\n\n
04 – R\u00e8gles de pare-feu<\/h2>\n\n
![\"Présentation](\"https:\/\/www.avanet.com\/assets\/sophos-xg-vs-utm-firewall-rule-overview-1024x382.jpg\")
<\/a><\/figure>\n<\/figure>\n\n![\"Sophos](\"https:\/\/www.avanet.com\/assets\/sophos-xg-vs-utm-firewall-rule-detail-1024x193.jpg\")
<\/figure>\n<\/figure>\n\n05 – Visionneuse de journaux<\/h2>\n\n