Sophos Firewall v22: Panoramica e tutte le nuove funzionalità

Sophos Firewall v22 punta su hardening, chiara visibilità e processi operativi stabili. L’architettura Xstream modernizzata, un kernel rafforzato e nuove funzioni operative aiutano a ridurre le superfici di attacco e a semplificare l’amministrazione. In questo articolo vengono spiegate tutte le novità di SFOS v22.

Health Check

L’Health Check è il controllo di configurazione integrato in Sophos Firewall v22. L’obiettivo è rendere visibili per tempo le configurazioni errate, prima che diventino un problema di sicurezza o operativo. Risponde al crescente panorama delle minacce per le infrastrutture esposte a Internet e segue l’approccio Secure by Design secondo le linee guida CISA. Sophos ha rafforzato la firewall in diverse release, semplificato il patching e migliorato il rilevamento in caso di attacco. Un elemento distintivo sono gli hotfix over-the-air senza downtime e il monitoraggio attivo della base installata da parte di Sophos, per riconoscere indicatori di attacco precoci.

A cosa serve l’Health Check Valuta decine di impostazioni rispetto ai CIS Benchmark e alle best practice consolidate. I campi di controllo tipici includono cifrari TLS obsoleti o insicuri, policy amministrative e utente troppo ampie, regole inutilizzate o sovrapposte, servizi esposti senza necessità e hardening di base come ora, autenticazione e logging. Sophos Firewall v22 rende quindi più semplice mantenere una buona igiene delle policy ed eliminare vulnerabilità indesiderate.

Come funziona l’Health Check Nel Control Center, un widget della dashboard mostra lo stato. Con un clic si accede alla vista di dettaglio, oppure tramite il menu principale alla voce “Firewall health check”. I risultati sono prioritizzati, spiegati e collegati tramite drill-down alla maschera di configurazione corretta. In questo modo le deviazioni possono essere corrette senza dover cercare a lungo.

Come utilizzare l’Health Check in esercizio Va eseguito prima dei go-live, dopo modifiche alle policy, dopo aggiornamenti firmware e con regolarità. Serve come validazione oggettiva nei processi CAB e fornisce evidenze di audit sulla continua igiene delle policy.

L’Health Check copre la qualità della configurazione, non lo stato dell’hardware. Non verifica se i database interni sono coerenti o se RAM o SSD presentano errori di scrittura. Una visualizzazione dello stato direttamente nella GUI sarebbe utile anche qui.

Health Check: aree di controllo in dettaglio

L’Health Check elenca nella dashboard tutti i punti verificati, in modo simile a un security audit. Ogni punto mostra modulo, standard, severità, stato e un’azione diretta. Così si vede a colpo d’occhio quali configurazioni si discostano dalle best practice. Una selezione dei controlli più importanti:

• Synchronized Application Control should be turned on.
• NDR Essentials should be turned on and at least on one interface selected.
• Sophos X-Ops should be turned on. An Action should be set to Log and drop.
• MDR threat feeds should be turned on. An Action should be set to Log and drop.
• A firewall rule should have Synchronized Security Heartbeat settings.
• Security Heartbeat should be turned on.
• Login disclaimer should be turned on.
• Hotfix settings should be turned on.
• Remote sessions should be signed out. Sign-ins should be blocked for the specified unsuccessful attempts.
• Password complexity should be configured for users.
• Password complexity should be configured for administrators.
• DNS Protection should be configured and have an active status.
• MFA should be configured for remote access VPN (IPsec and SSL VPN) sign-ins.
• MFA should be configured for web admin console and VPN portal sign-ins.
• The firewall’s connection with authentication servers should be encrypted.
• Backups should be scheduled.
• Public key authentication should be configured for SSH access to the firewall.
• User portal shouldn’t be accessible from WAN.
• Web admin console shouldn’t be accessible from WAN.
• MFA should be configured for the default admin.
• Notification emails should be configured for system and security events.
• Automatic update should be turned on for pattern download and installation.
• A Web policy should be selected in a firewall rule.
• Zero-day protection should be selected in a firewall rule.
• Intrusion prevention should be turned on. An IPS policy should be selected in a firewall rule.
• An Application control policy should be selected in a firewall rule.
• An SSL/TLS inspection rule should have Action set to Decrypt.
• A firewall rule with Action set to Allow shouldn’t have all the network and service settings set to Any.
• Sophos Central reporting should be turned on.
• The firewall should send its backups to Sophos Central.
• The firewall should be registered for Sophos Central management. Sophos Central management should be turned on.
• NTP server should be configured.

Questo elenco mostra che l’Health Check copre sia configurazioni tecniche che linee guida di sicurezza organizzative.

Alcuni punti sono senza dubbio utili, altri si possono discutere. Ad esempio: “Login disclaimer should be turned on”. Un avviso di questo tipo aumenta la sicurezza solo in misura limitata: quasi nessuno lo legge davvero e nella pratica viene per lo più semplicemente chiuso. In determinati ambienti può però soddisfare requisiti legali, ad esempio come condizioni d’uso o disclaimer. Dal punto di vista strettamente tecnico non è un vero meccanismo di protezione, ma piuttosto un elemento formale che segnala attenzione alla sicurezza.

È possibile sovrascrivere manualmente lo stato di singoli controlli. Un punto può quindi essere marcato come “Complies” anche se tecnicamente non è soddisfatto. In quel caso appare però un simbolo ⚠️ che segnala lo stato sovrascritto. La trasparenza rimane quindi preservata, pur lasciando margine amministrativo.

Si nota inoltre che alcuni controlli sono fortemente legati a Sophos Central, MDR, NDR o DNS Protection. Dal punto di vista di Sophos è naturalmente anche una forma di cross-selling, perché evidenzia il valore dell’integrazione nel proprio ecosistema. Molte di queste raccomandazioni offrono comunque un reale valore aggiunto, ad esempio tramite gestione consolidata o alerting automatizzato.

Next-Gen Xstream Control Plane

Con Sophos Firewall v22, Sophos ha evoluto in modo sostanziale la Xstream Architecture. Mentre il concetto originale era stato introdotto con la versione 18 per sfruttare appieno le prestazioni dell’hardware XGS, la nuova generazione punta a molto più della sola performance: al centro ci sono sicurezza, stabilità e capacità di evolvere nel tempo.

Una nuova base per sicurezza e scalabilità

Il Control Plane rivisto è stato riprogettato da zero. Invece di un sistema monolitico, Sophos utilizza ora un framework modulare in cui servizi centrali come IPS, Web Filter o SSL inspection vengono eseguiti isolati l’uno dall’altro. Ogni servizio si comporta come un’app separata all’interno della firewall e può essere gestito o riavviato in modo indipendente. Le altre funzioni restano quindi stabili anche se un modulo reagisce in modo errato o va in crash.

Dal punto di vista di un Security Engineer è un passo decisivo: questa architettura minimizza le dipendenze e riduce l’impatto di potenziali exploit sui singoli componenti. Allo stesso tempo crea la base per un isolamento Zero Trust all’interno del sistema, un concetto finora più familiare nelle moderne piattaforme cloud.

Indipendente da hardware e ambiente

Un grande vantaggio della nuova Xstream Architecture è la sua piena indipendenza da hardware proprietario. A differenza di molti concorrenti, Sophos Firewall v22 non si basa su ASIC speciali o chip a funzione fissa. L’architettura funziona in modo coerente su hardware fisico, macchine virtuali e ambienti cloud. Questo garantisce un comportamento uniforme su tutte le piattaforme e semplifica l’automazione operativa.

Alta disponibilità migliorata con auto-riparazione

Nuova è anche la logica di self-healing nei cluster HA. Il Control Plane monitora continuamente lo stato di entrambi i sistemi e corregge automaticamente le deviazioni. Se rileva differenze nella configurazione o nello stato di sincronizzazione, la firewall avvia autonomamente una correzione. Questo riduce le situazioni di errore, abbassa l’impegno di manutenzione e migliora sensibilmente la disponibilità. In pratica significa: meno riavvii non pianificati e prestazioni del cluster più stabili.

Prospettiva tecnica e futuro

La nuova Xstream Architecture getta le basi per funzionalità future come clustering a n nodi, servizi di sicurezza completamente containerizzati e una REST API completa per remote management e automazione. Sophos Firewall v22 si muove quindi chiaramente verso un’architettura di piattaforma che ricorda i moderni principi cloud: service-based, dinamica e centrata sulla sicurezza.

Da una prospettiva professionale, questa trasformazione è più di un aggiornamento tecnico. Cambia il modo in cui le firewall verranno concepite in futuro: via dalle appliance monolitiche, verso un’infrastruttura flessibile e orientata ai servizi, adattabile rapidamente e gestibile in modo automatizzato. Per operatori con requisiti elevati di uptime, compliance e scalabilità è un progresso decisivo.

Sono pienamente d’accordo: il riallineamento verso l’elaborazione basata su CPU ha assolutamente senso dal punto di vista tecnico. Non tutte le appliance XGS dispongono di una NPU che accelerava il traffico, e soprattutto le firewall virtuali sono sempre state svantaggiate in questo senso. Con la nuova architettura, la capacità di elaborazione torna a poggiare maggiormente sulle CPU moderne, garantendo un comportamento uniforme su tutte le piattaforme. Nei vecchi modelli desktop XGS, inoltre, la combinazione di CPU e NPU era impegnativa anche dal punto di vista termico e causava più rumore. Le nuove generazioni sono nettamente più silenziose grazie all’eliminazione di questo doppio carico di processori. Chi ricorda il confronto capisce perché il ritorno all’ottimizzazione CPU sia sensato sia strategicamente sia nella pratica.

Kernel rafforzato 6.6+

Sophos Firewall v22 utilizza un kernel Linux modernizzato (v6.6+) per maggiore sicurezza, performance e scalabilità. Gli aspetti centrali sono un isolamento dei processi più rigoroso e mitigazioni estese contro attacchi side-channel e vulnerabilità CPU come Spectre, Meltdown, L1TF, MDS, Retbleed, ZenBleed e Downfall. Sono inoltre attivi hardened usercopy, Stack Canaries e Kernel Address Space Layout Randomization (KASLR). Questo riduce la sfruttabilità degli errori di memoria, stabilizza il comportamento runtime e rafforza le fondamenta dell’architettura Xstream.

Remote Integrity Monitoring

Remote Integrity Monitoring in SFOS v22 completa l’hardening del kernel con un monitoraggio continuo dell’integrità del sistema. In parole semplici: controlla in background se sulla firewall cambia qualcosa che non dovrebbe cambiare. Il sensore Linux integrato per XDR registra eventi rilevanti per la sicurezza a livello di sistema e di servizio, ad esempio quando viene avviato un processo sconosciuto, vengono modificati file di configurazione o esportate regole, oppure vengono manipolati file critici.

Queste informazioni vengono inviate a Sophos Central insieme a ora, utente e fonte. Lì possono essere correlate con altri dati, ad esempio da endpoint, gateway e-mail o servizi di identità. Questo consente agli amministratori di riconoscere più rapidamente comportamenti insoliti e reagire in modo mirato prima che ne derivi un problema più grande.

Per il lavoro quotidiano di un amministratore IT significa: se qualcuno tenta inosservato di modificare qualcosa sulla firewall o manipolare un file, l’evento viene rilevato e segnalato. La funzione aiuta quindi a scoprire precocemente attacchi silenziosi o configurazioni errate, senza controlli manuali continui. Allo stesso tempo supporta Sophos nel monitoraggio centralizzato del comportamento delle firewall installate, così da identificare pattern o potenziali problemi di sicurezza.

Active Threat Response (Threat Feeds per WAF e NAT)

Con il feature request SFSW-I-2618 è stato finalmente implementato un comportamento richiesto da tempo. I Threat Feeds sono elenchi dinamici di indirizzi IP dannosi noti, aggiornati continuamente da fornitori di threat intelligence come noi (Avanet Threat Feeds). Servono a bloccare proattivamente gli attacchi da Internet prima ancora che si avvicinino a un servizio.

Finora, però, questi feed venivano utilizzati esclusivamente per proteggere i portali Sophos. Le regole NAT e WAF non ne erano interessate, cosa che nella pratica sembrava meno una funzionalità mancante e più un bug.

Con Sophos Firewall v22 questa limitazione è stata rimossa. I Threat Feeds vengono ora applicati automaticamente anche alle regole NAT e WAF. Significa che, appena viene rilevata una connessione da un indirizzo IP presente in un feed, la firewall la blocca automaticamente, anche in caso di forwarding o regole per web server. Non è quindi più necessario mantenere regole separate o workaround.

Questo cambiamento è un grande passo avanti, perché i Threat Feeds proteggono ora anche servizi produttivi come i web server e contribuiscono direttamente al rilevamento e alla difesa dagli attacchi. La firewall reagisce così in tempo reale alle minacce attuali, senza interventi manuali. Un dettaglio piccolo, ma tecnicamente significativo, che aumenta ancora una volta il valore di sicurezza di Sophos Firewall v22.

Miglioramenti NDR

Per il traffico in uscita sono supportati i match sull’IP sorgente con NDR Essentials e feed esterni, per identificare e bloccare dispositivi compromessi e non gestiti. Il Threat Score di NDR Essentials compare direttamente nei log. Inoltre, da SFOS v21.5 MR1, la regione del Data Center NDR Essentials può essere selezionata esplicitamente; per impostazione predefinita viene utilizzata la regione con la latenza più bassa.

Controllo dell’accesso API

L’accesso all’API di gestione può essere limitato a oggetti IP espliciti. Fino a 64 voci consentono una separazione pulita tra worker di automazione, reti di management e accessi esterni di partner. Durante finestre di change è possibile ampliare temporaneamente l’accesso e poi ridurlo di nuovo. Raccomandazione: consentire l’accesso solo da reti di management dedicate, attivare il logging e verificare regolarmente gli accessi. La configurazione avviene in SFOS v22 sotto Administration.

Aggiornamenti firmware via SSL con certificate pinning

SFOS v22 valida i server di aggiornamento tramite SSL e certificate pinning. Questo riduce il rischio di infrastrutture di update manipolate. In ambienti con policy di egress rigide, gli FQDN di destinazione dovrebbero essere inseriti nelle allowlist, affinché gli aggiornamenti funzionino in modo affidabile.

HTTP/2 e TLS 1.3 per Device Access

La Web Admin Console, il VPN Portal e lo User Portal utilizzano ora HTTP/2 e TLS 1.3. Queste due tecnologie fanno sì che le connessioni vengano stabilite più rapidamente, risultino più stabili e siano cifrate meglio. La differenza si nota soprattutto al login e nel caricamento delle pagine dell’interfaccia Web Admin, che rispondono in modo sensibilmente più rapido.

HTTP/2 raggruppa più richieste in un’unica connessione, riducendo i tempi di attesa tra client e server. TLS 1.3 garantisce allo stesso tempo una cifratura moderna, con handshake più breve e sicurezza più elevata. In ambienti di rete più datati, dove sono ancora in uso vecchie firewall o sistemi proxy, conviene verificare brevemente la compatibilità prima dell’attivazione.

Monitoraggio con sFlow e valori hardware SNMP

sFlow consente il traffic sampling verso collector centrali, per riconoscere in tempo reale picchi di volume, flussi inattesi e anomalie. Il sampling rate standard è 400, il minimo 10. Sono supportati fino a 5 collector. sFlow può essere attivato su interfacce fisiche, alias e interfacce VLAN. Nota: sull’interfaccia di monitoring il FastPath viene disattivato. In aggiunta, SFOS v22 fornisce metriche hardware SNMP come temperatura di CPU e NPU, velocità delle ventole, stato degli alimentatori da XGS 2100 in su e valori di potenza PoE per tutti i modelli XGS con PoE, tranne XGS 116(w). Un file MIB può essere scaricato direttamente dalla UI. Gli intervalli di sampling e polling vanno scelti in modo che i link principali restino visibili senza sovraccaricare il collector.

Usabilità e funzioni di ricerca migliorate

Con SFOS v22 l’interfaccia dovrebbe reagire in modo sensibilmente più rapido. Quando si passa tra menu e tab, non è più necessario attendere il caricamento completo della pagina.

Nei miei test non ho percepito alcun miglioramento. È comunque positivo che si lavori sulla velocità dell’interfaccia utente. Qui c’è ancora molto potenziale, soprattutto nel salvataggio delle regole firewall o nel caricamento delle viste delle interfacce, dove si notano ancora ritardi sensibili.

Le interfacce XFRM possono ora essere filtrate e cercate direttamente nell’interfaccia. In presenza di molte voci vengono paginate automaticamente, migliorando in modo netto la visione d’insieme e la gestione di grandi setup IPsec.

Anche piccoli miglioramenti si notano nell’uso quotidiano: le impostazioni del server NTP sono ora impostate di default su “Use pre-defined NTP server”.

Funzioni simili a UTM in SFOS

Per chi non è ancora passato da SG UTM a SFOS, la versione 22 porta funzionalità che mancavano. Tra queste rientrano il supporto MFA nella WAF, algoritmi OTP moderni come SHA-256 e SHA-512, nonché log di audit trail con visualizzazione before/after. Queste estensioni colmano lacune importanti rispetto alla UTM precedente e semplificano sensibilmente la migrazione. Chi esita ancora a migrare trova ora in SFOS v22 quasi tutte le funzionalità familiari, con tecnologia moderna e integrazione migliore.

Log di Audit Trail in dettaglio

La fase 1 registra ogni modifica a regole firewall, oggetti e interfacce. I log possono essere scaricati dal menu Diagnostics > Logs e mostrano chiaramente che cosa è stato modificato, inclusi i valori prima e dopo l’adattamento. Nelle versioni future queste modifiche verranno visualizzate direttamente nel Log Viewer, così da vedere subito le differenze senza esportazione. Questo migliora la tracciabilità e fa risparmiare tempo nell’analisi delle modifiche.

Instant Web Category Alerts

Per categorie web limitate possono essere configurate notifiche automatiche. Questi messaggi informano a intervalli brevi, ad esempio ogni cinque minuti, sui tentativi di accesso a siti web bloccati. Ogni messaggio contiene dettagli come orario, utente, categoria e dominio richiamato. Questo crea maggiore trasparenza e facilita il follow-up quando vengono effettuati accessi ripetuti a pagine non consentite. La funzione è particolarmente utile in ambienti con policy chiare, ad esempio scuole o organizzazioni con regole Internet definite. Le violazioni vengono documentate automaticamente e possono essere ricostruite se necessario.

Upgrade a SFOS v22: percorsi, durata e note

SFOS v22 introduce modifiche profonde all’architettura di sistema. Per questo il firmware richiede un po’ più di spazio nella partizione root. Nella maggior parte dei dispositivi, circa il 98 percento, l’upgrade avviene automaticamente e senza intervento. I modelli da XGS 2100 in su dispongono già di spazio sufficiente e vengono aggiornati direttamente.

Per i modelli desktop XGS e virtuali con una partizione più piccola (1 GB), lo spazio viene ampliato automaticamente durante l’upgrade. Per questo il processo richiede un po’ più di tempo, di solito tra due e dieci minuti. Solo pochi sistemi, circa il tre percento, richiedono preparazione manuale, ad esempio l’eliminazione di vecchi report o log per liberare spazio sufficiente.

I dispositivi con firmware SSD obsoleto devono prima aggiornarlo, prima che sia possibile passare alla versione 22. Installazioni virtuali molto vecchie, basate ancora su dischi piccoli o versioni SFOS precedenti alla 18, richiedono passaggi aggiuntivi. In alcuni casi è necessario un aggiornamento intermedio alla versione 21 MR2 prima che l’upgrade riesca. Se il disco è troppo piccolo, resta solo la reinstallazione con un disco più grande.

Le indicazioni su tutti i passaggi necessari compaiono automaticamente nell’interfaccia della firewall tramite messaggi nel Control Center, via e-mail e tramite simboli di avviso in Sophos Central. Mostrano anche un codice di riferimento che rimanda direttamente all’articolo Knowledge Base appropriato. Dopo una preparazione riuscita, l’avviso scompare entro circa un’ora. Per la diagnosi sono inoltre disponibili comandi CLI aggiuntivi.

• Sophos KB: Requisiti e risoluzione per l’aggiornamento a SFOS 22.0 e successivi

Conclusione

Sophos Firewall v22 convince con una base di sicurezza sensibilmente più forte, una struttura modulare e un esercizio più stabile. L’Health Check è uno strumento ben concepito che aiuta a verificare sistematicamente le configurazioni e a rispettare le best practice. Il nuovo Control Plane garantisce upgrade più fluidi e maggiore affidabilità durante l’esercizio. Protocolli moderni e telemetria ampliata rendono analisi e troubleshooting nettamente più efficienti.

Accogliamo con favore il chiaro progresso di Sophos Firewall v22, ma continuiamo a desiderare lavori su clonazione e raggruppamento delle regole NAT, come già avviene per le regole firewall. Circa un anno fa abbiamo raccolto e pubblicato i nostri desideri. Da allora molte cose sono migliorate, ma dal nostro punto di vista mancano ancora alcune funzioni. Speriamo che vengano implementate nelle prossime versioni.

FAQ

Link aggiuntivi

• Avanet: Threat Intelligence Feeds per Sophos Firewall
• Sophos News: Sophos Firewall v22 Early Access
• Sophos Community: Annunci SFOS v22 EAP

Fonti

1. Nuove funzionalità chiave del sistema operativo Sophos Firewall v22
2. Sophos Firewall v22 è ora disponibile in early access, Sophos News
3. Sophos Firewall v22 EAP è ora disponibile, Sophos Community, 15.10.2025,