Sophos Central Firewall Management – funzioni con SFOS v18

Il primo collegamento tra firewall e Sophos Central è stato introdotto con Synchronized Security. Poco dopo è arrivato Sophos Central Firewall Manager. Tuttavia, la prima versione offriva un set di funzioni piuttosto limitato, per cui il prodotto, inizialmente, risultava solo moderatamente interessante. Con SFOS v18, però, Central Firewall Manager è stato notevolmente ampliato.

Info: se vuoi conoscere nel dettaglio tutte le novità della prossima versione SFOS v18, trovi il mio articolo completo qui: Sophos SFOS v18: panoramica delle nuove funzioni

Central Firewall Management

Personalmente considero Sophos Central Firewall Manager (SCFM) uno strumento molto valido. Sebbene il set di funzioni attualmente disponibile sia ancora relativamente contenuto, la visione complessiva di Sophos è molto convincente. Per noi, lo strumento è particolarmente utile per mantenere una panoramica negli ambienti dei clienti che dispongono di più firewall. Nel mondo UTM questo compito è svolto da Sophos UTM Manager (SUM); per SFOS è possibile utilizzare anche Sophos Firewall Manager. Dal nostro punto di vista, tuttavia, quest’ultimo è solo parzialmente adatto. Considerando l’evoluzione di SCFM, è facile prevedere che il classico Sophos Firewall Manager verrà progressivamente sostituito.

Vediamo ora le principali funzioni di base e come iniziare a usare Central Firewall Manager.

Collegare un firewall

Per utilizzare le funzioni di gestione dei firewall è necessario un account Sophos Central. Questo account può essere creato gratuitamente e anche la gestione dei firewall è gratuita. Nel backend del firewall è possibile registrarsi presso Sophos Central tramite il menu «Central synchronization». Il firewall viene così collegato a Central.

Management

Nel vostro account Central si crea nel tempo un elenco di tutti i firewall che avete aggiunto. Con un clic sul nome del firewall effettuate automaticamente l’accesso al backend del dispositivo e potete eseguire le configurazioni come di consueto. L’accesso tramite Central è sensibilmente più lento rispetto a una connessione diretta al firewall, ma è molto più comodo perché non richiede un login aggiuntivo. Il firewall ha un indirizzo IP dinamico? Nessun problema. Dato che è il firewall a stabilire la connessione verso Central, il collegamento funziona perfettamente.

Le funzioni disponibili in Central Firewall Manager dipendono dalla versione firmware installata su ciascun firewall. Alcune funzionalità vengono abilitate solo a partire da una determinata release.

Aggiornamenti firmware

Nella panoramica dei firewall è possibile vedere a colpo d’occhio quale versione firmware è installata su ciascun modello. Con un clic su «Upgrade» e poi su «Upgrade Firmware» è possibile distribuire l’ultima versione disponibile.

Non mi stancherò di ripeterlo: utilizza il pulsante di aggiornamento sempre con la massima cautela. Prepara l’aggiornamento con attenzione e informati in anticipo sulle modifiche introdotte dalla nuova versione. Vediamo spesso aggiornamenti del firewall installati con troppa leggerezza. Con i nostri contratti di manutenzione firewall ci occupiamo noi del patch management dei tuoi firewall e ti proteggiamo da spiacevoli sorprese. 😎

Backup online

Tramite Sophos Central Firewall Manager è anche possibile creare backup pianificati o manuali della configurazione del firewall. In ogni caso, è consigliabile implementare un concetto di backup ben definito. Finora i backup potevano essere scaricati manualmente dal firewall, salvati direttamente su un server FTP oppure inviati via email.

Nonostante queste possibilità, nella pratica insorgono spesso problemi proprio quando il backup è realmente necessario. Tra le situazioni riscontrate presso alcuni clienti, citiamo ad esempio:

• L’indirizzo email a cui venivano inviati i backup non esisteva più da tempo – di conseguenza i backup non raggiungevano mai la casella di posta.
• La protezione email bloccava i messaggi, perché provenivano da un IP dinamico o perché il record SPF non era configurato correttamente.
• Un backup era disponibile, ma la relativa password non poteva più essere recuperata.
• Un backup esisteva, ma era ormai molto datato.

È facile immaginare altri motivi per cui un backup può risultare inutilizzabile in caso di emergenza. Molti di questi rischi vengono mitigati con il backup online in Central. I backup vengono memorizzati in modo centralizzato e cifrato in Sophos Central. In questo modo restano sempre aggiornati e sono subito disponibili in caso di necessità.

Nuove funzioni con la v18

Le funzioni descritte sopra sono già disponibili a partire dalla versione 17.5. Vediamo ora le nuove possibilità introdotte esclusivamente con SFOS v18.

Reporting

In passato esisteva un prodotto Sophos separato per il reporting centralizzato, chiamato iView. Tecnicamente il software esiste ancora, ma nella pratica consideriamo un prodotto che non viene aggiornato da anni come di fatto obsoleto. Il fatto che Sophos non lo abbia ancora dichiarato ufficialmente end‑of‑life cambia poco. 😅 Per noi iView non ha futuro – ma la sua idea rivive in Central Reporting.

Quando abiliti il reporting sul firewall, i dati di log vengono inviati a Sophos Central. Sulla base di questi dati è possibile generare report molto significativi.

Central Reporting per il firewall è attualmente ancora in fase beta. Nonostante ciò, lo stato attuale dà già un’ottima idea di ciò che ci si può aspettare dalla versione finale.

Impostazioni globali dei firewall

In ambienti con molti firewall, la gestione può diventare rapidamente complessa. Con circa dieci firewall, l’amministrazione può ancora essere gestita in modo più o meno manuale, ma superata la soglia di cinquanta sistemi diventa una vera sfida. Con v18 è possibile raggruppare i firewall in Central in modo semplice e intuitivo.

Nelle policy di gruppo è disponibile un’interfaccia firewall familiare, nella quale è possibile definire e salvare impostazioni centrali. Queste configurazioni vengono poi distribuite a tutti i firewall appartenenti al gruppo.

Anche questa funzione è attualmente ancora in fase beta, come è emerso chiaramente nei nostri test. Si è ancora un po’ lontani da una soluzione completamente matura e alcuni dettagli devono essere definiti. In linea di principio, tuttavia, siamo convinti che le impostazioni globali dei firewall diventeranno in futuro un importante supporto per la gestione di ambienti firewall di grandi dimensioni.