Collegare Sophos Firewall a Sophos Fusion (in precedenza Sophos Central)

Non è obbligatorio collegare un Sophos Firewall a Sophos Fusion. Un singolo firewall può essere gestito completamente in locale tramite il WebAdmin. Tuttavia, il collegamento a Sophos Fusion è vantaggioso in molte situazioni, poiché rende disponibili funzionalità aggiuntive di gestione, backup, reportistica e sicurezza.

Questo articolo aiuta a decidere quando è utile utilizzare Sophos Fusion e quando è sufficiente una gestione locale.

Il nome attuale della piattaforma è Sophos Fusion, in precedenza Sophos Central. I menu del firewall, i pulsanti e l’alert di registrazione possono ancora riportare Sophos Central; durante la procedura, fare riferimento alle etichette effettivamente visibili nell’interfaccia. Un firewall gestito centralmente può anche essere integrato come gateway ZTNA per l’accesso alle risorse interne. La sola registrazione non configura il gateway e non concede l’accesso a queste risorse; la distribuzione di ZTNA e la relativa policy di accesso devono essere pianificate separatamente.

Risposta breve

Se si gestisce solo un singolo Sophos Firewall localmente e non si desidera utilizzare le funzionalità di Central, Sophos Fusion non è strettamente necessario.

Se si gestiscono più firewall, si desidera analizzare centralmente i dati di log, salvare i backup delle configurazioni nel cloud o si utilizzano altri prodotti Sophos come Sophos Endpoint, Sophos Fusion offre vantaggi significativi.

La decisione non dovrebbe essere solo: collegare o non collegare. È più importante decidere quali funzionalità di Central attivare effettivamente. Un firewall può essere registrato in Sophos Fusion senza che ogni funzione di gestione, reportistica o backup venga utilizzata attivamente.

Zero Touch: distribuzione tramite un file di configurazione

Oltre alla gestione dei firewall esistenti, Sophos Fusion offre anche Zero Touch: i nuovi firewall possono essere installati tramite un file di configurazione Zero Touch. È necessario un account Sophos Fusion; l’interfaccia può ancora riportare il nome Sophos Central. Questa possibilità è rilevante per la pianificazione di nuove installazioni presso le sedi, quando si intende prepararne la distribuzione tramite Central. Non equivale al successivo accesso remoto a WebAdmin né alla distribuzione di una policy di gruppo.

Prima di scegliere il metodo di distribuzione, chiarire il tenant previsto, gli amministratori responsabili e le relative autorizzazioni, il dispositivo e il numero di serie, le licenze necessarie e la connettività Internet. Per la successiva gestione tramite Central resta necessaria una connessione IPv4 funzionante; continuano ad applicarsi i requisiti di licenza descritti in questo articolo. Zero Touch non è un prerequisito per il funzionamento locale e non è un metodo di riparazione per un firewall già in produzione.

Distinguere chiaramente le attività:

• Nuova installazione con Zero Touch: il file di configurazione serve alla distribuzione di un nuovo firewall. Questa panoramica descrive la funzionalità, ma non fornisce una guida completa alla creazione o all’applicazione del file. Pianificare questo percorso prima dell’installazione; non ricavare una procedura Zero Touch dai passaggi OTP riportati di seguito.
• Configurazione locale, claim e licenze: Configurare Sophos Firewall, eseguire il claim e attivare le licenze descrive la configurazione locale di base, l’associazione al tenant tramite claim e l’attivazione o la sincronizzazione delle licenze come attività separate. Queste attività non devono essere equiparate alla registrazione per la gestione.
• Collegare un firewall esistente: la procedura OTP descritta più avanti presuppone che il firewall sia già configurato e associato tramite claim al tenant corretto. L’OTP lo registra per Central Management, ma non sostituisce né il claim né l’attivazione delle sottoscrizioni. Anche l’assegnazione a un cliente da parte di un partner non sostituisce il claim.
• Gestire più firewall insieme: Usare Sophos Fusion Firewall Groups in modo sicuro spiega le policy condivise e gli effetti di Full Sync. La gestione dei gruppi è un’attività operativa distinta, non il percorso di installazione Zero Touch.

Vantaggi del collegamento a Sophos Fusion

Panoramica centrale

In Sophos Fusion, i firewall registrati sono visibili centralmente in un unico luogo. Questo è particolarmente utile quando si gestiscono più sedi o appliance della stessa organizzazione.

Vantaggi tipici:

• Panoramica dello stato dei firewall
• Numeri di serie e informazioni sulle licenze
• Stato del firmware e della sicurezza
• Report centrali
• Passaggio rapido tra più firewall

Gestione tramite Sophos Fusion

Con Manage from Sophos Central, è possibile accedere alla gestione del firewall tramite Sophos Fusion. Questo è spesso più sicuro rispetto alla pubblicazione diretta della WebAdmin Console su Internet.

L’accesso alla gestione non sostituisce una strategia amministrativa ben definita. Gli account amministrativi, MFA, ruoli, Device Access e regole ACL devono essere configurati consapevolmente. Secondo Sophos, Central Firewall Management richiede inoltre una sottoscrizione attiva a pagamento diversa da Base Firewall oppure una licenza di supporto Sophos attiva che dia diritto a questa funzione, ad esempio Enhanced Support. La sola licenza Base Firewall non basta; non tutti i contratti di supporto danno automaticamente questo diritto.

Un aspetto tecnico viene spesso trascurato: Sophos Fusion può gestire i firewall solo se il firewall raggiunge Internet tramite IPv4. Negli ambienti IPv6-only o fortemente segmentati, questo percorso deve essere verificato prima dell’attivazione.

Se le modifiche tramite Central non arrivano come previsto sul firewall, è consigliabile controllare anche la Sophos Fusion Firewall Management Task Queue. Qui si può vedere se le politiche di gruppo o i task del firewall basati su API sono ancora in sospeso, falliti o saltati.

Usare Sophos Fusion Firewall Groups in modo sicuro spiega come più firewall ricevono una policy comune e cosa fanno realmente Full Sync e Skip full sync.

Per più sedi, Central può inoltre orchestrare connessioni VPN route-based, interfacce XFRM, route e regole. Configurare e verificare un gruppo di connessioni SD-WAN in Sophos Fusion spiega pianificazione, risoluzione dei conflitti e verifica locale.

Limiti di Central Firewall Management

Central Firewall Management è un percorso di amministrazione aggiuntivo, ma non sostituisce completamente la gestione locale del firewall, i log locali e un accesso di emergenza testato. Soprattutto con più amministratori, gruppi di firewall e cluster HA, è importante conoscere i limiti principali per non scambiare un normale comportamento della piattaforma per un errore di configurazione.

Osservazioni tipiche durante l’operatività:

• Due amministratori aprono lo stesso firewall tramite Central contemporaneamente: può essere attiva una sola sessione Central Manager per firewall. Se un secondo amministratore subentra, il primo può vedere un caricamento continuo o un errore di connessione. In questo caso chiudere le sessioni parallele, attendere qualche minuto e verificare direttamente nel WebAdmin locale.
• Un ruolo read-only o helpdesk non vede i firewall raggruppati: testare i ruoli in Central con account reali prima dell’uso operativo. Alcune viste o funzioni di gruppo non sono visibili per ogni ruolo.
• Le coppie HA appaiono due volte o su più pagine: a seconda della vista Central, i membri di un cluster HA possono essere mostrati separatamente. Per le operazioni resta decisivo lo stato HA locale.
• Le regole firewall non possono essere spostate a livello di gruppo come localmente: non tutte le operazioni del WebAdmin locale sono disponibili allo stesso modo nei gruppi Central. Dopo le modifiche al gruppo, verificare localmente l’ordine delle regole e il loro effetto.
• Gruppi importati o regole WAF si comportano in modo inatteso in Central: dopo l’importazione di una configurazione, un Full Sync o l’importazione di regole WAF, verificare non solo Central ma anche il firewall di destinazione e la Task Queue.

In pratica: dopo modifiche da Central, controllare la Task Queue, la vista WebAdmin locale, il Log Viewer e, se necessario, l’Audit Trail. Se l’interfaccia Central continua a caricare, una coppia HA appare doppia o una regola di gruppo non può essere spostata, non è automaticamente un problema della regola firewall.

Backup delle configurazioni in Sophos Fusion

Il firewall può inviare backup delle configurazioni a Sophos Fusion. Questo è utile quando un’appliance deve essere sostituita o ripristinata e i backup locali non sono disponibili.

In Sophos Fusion, è possibile impostare backup pianificati per i firewall registrati. Gli intervalli disponibili sono Daily, Weekly e Monthly. Ad esempio, è possibile definire che i firewall selezionati inviino un backup della configurazione a Sophos Fusion giornalmente, settimanalmente o mensilmente.

La documentazione attuale di Sophos sui backup indica Global Settings > Products and Services > Firewall > Schedule Backup per la pianificazione. Se il percorso Firewall Management > Backup mostrato nella schermata non è presente nella tua interfaccia, utilizza questo accesso.

Sophos Fusion non conserva illimitatamente tutti i backup automatici. Per impostazione predefinita restano disponibili i cinque backup più recenti; quelli più vecchi vengono eliminati. Un backup può inoltre essere contrassegnato per la conservazione permanente. Nei cluster HA, Primary e Auxiliary compaiono nel piano di backup, ma secondo Sophos viene generato solo il backup del dispositivo Primary.

Per l’operatività sono importanti due dettagli: Sophos Fusion prova a creare un backup fino a cinque volte e, in caso di errore permanente, genera un alert e un’e-mail al Sophos Fusion Admin. Se un firewall viene rimosso da Sophos Fusion Management, Sophos Fusion elimina i file di backup associati. I backup cloud sono quindi utili, ma non sostituiscono una strategia propria di backup e restore.

Tuttavia, non si dovrebbe fare affidamento su un’unica modalità di backup. Per i sistemi in produzione, sono comunque consigliabili backup locali o esterni regolari. Sono importanti anche la password del backup e la Secure Storage Master Key.

Central Firewall Reporting

Con Central Firewall Reporting, il firewall invia dati di log e report a Sophos Fusion. Ciò consente di analizzare i dati su periodi di tempo più lunghi e di consultarli centralmente.

In Sophos Fusion sono disponibili dashboard, Report Hub, Report Generator, modelli salvati ed esportazioni pianificate. È possibile creare report per singoli firewall o più firewall, filtrare i periodi di tempo, cercare eventi specifici ed esportare i risultati come PDF, CSV o HTML. Per valutazioni regolari, i report possono essere pianificati e forniti automaticamente.

Secondo Sophos, il salvataggio dei modelli, le esportazioni pianificate e i download richiedono una licenza Central Firewall Reporting Advanced. Per i report su più firewall, tutti i firewall selezionati devono disporre della licenza appropriata.

Modelli di report tipici sono:

• Antivirus
• Bandwidth usage
• Cloud app risks and usage
• Firewall
• IPS
• Log viewer and search
• SD-WAN
• SD-WAN SLA trend
• SD-WAN bandwidth usage
• Security posture assessment
• Synchronize app
• Threat geo activity
• Threats and events blocked
• VPN usage
• Web usage
• Web user risks
• X-Ops
• Zero-day protection

La durata di conservazione dipende dalla licenza:

• Abbonamento Firewall attivo: fino a 7 giorni, per report di base e brevi retrospettive
• Xstream Protection / Central Orchestration: fino a 30 giorni, a seconda del bundle e dell’autorizzazione
• Central Firewall Reporting Advanced: fino a 365 giorni, con 100 GB di spazio di archiviazione aggiuntivo per licenza

L’attivazione dettagliata e la selezione dei log sono descritte nell’articolo dettagliato Attivare Central Firewall Reporting.

Synchronized Security e Security Heartbeat

Quando Sophos Endpoint e Sophos Firewall sono gestiti insieme tramite Sophos Fusion, è possibile utilizzare Synchronized Security. In questo modo, firewall ed endpoint scambiano informazioni di sicurezza.

Esempi:

• Il firewall visualizza il Security Heartbeat degli endpoint.
• I dispositivi con Heartbeat rosso possono essere automaticamente limitati.
• La visibilità di rete ed endpoint è meglio integrata.
• In caso di incidenti, è più facile vedere quale utente o dispositivo è coinvolto.

Questo è uno dei maggiori vantaggi quando, oltre al firewall, si utilizzano anche Sophos Endpoint, MDR o XDR.

Security Heartbeat può anche trasmettere al firewall l’identità di dominio Windows di un endpoint gestito. Configurare Synchronized User ID Authentication descrive il processo sicuro per l’endpoint pilota, la regola e HA.

Verificare Security Heartbeat dopo la registrazione

La presenza del firewall in Sophos Fusion non dimostra ancora che Security Heartbeat funzioni per gli endpoint. Sono necessari un account Sophos Fusion, almeno un endpoint gestito da Sophos Fusion con licenza di prova o completa e una sottoscrizione Network Protection valida sul firewall. Quando il firewall viene registrato, SFOS attiva automaticamente Security Heartbeat e Synchronized Application Control.

Per una prima verifica controllata è adatto un singolo endpoint pilota gestito:

1. In System > Sophos Central, verificare che il firewall sia registrato e che Security Heartbeat sia attivo.

2. In Sophos Fusion, in My Products > Firewall Management > Firewalls, confermare l’alert A new firewall has been successfully registered to Sophos Central. Questo alert dimostra la registrazione, ma non ancora l’effetto di una regola.

3. Per l’endpoint pilota in Sophos Fusion, verificare il tenant, lo stato di integrità corrente e gli eventi dello stesso periodo.

4. In Control Center > User & device insights > Security Heartbeat, verificare che il contatore Connected rispecchi in modo plausibile lo stato previsto dell’endpoint pilota. Secondo Sophos, la vista dettagliata rimane vuota quando tutti gli endpoint sono verdi; elenca singolarmente solo gli endpoint rossi e gialli.

5. Verificare la regola firewall effettivamente applicata e le impostazioni in Configure Synchronized Security Heartbeat. Le condizioni Source heartbeat e Destination heartbeat definiscono separatamente lo stato minimo richiesto per la sorgente e per la destinazione; non presumere che una condizione sulla sorgente controlli anche la destinazione. Senza una condizione di heartbeat configurata, la sola visualizzazione dello stato non impone restrizioni al traffico. Verificare anche le eccezioni applicabili: Sophos documenta che, con Block clients with no heartbeat e un’eccezione per i controlli di policy in Web > Exceptions, le richieste web non vengono bloccate. Confermare quindi l’effetto reale con il Rule ID, i log e il flusso autorizzato, senza presumere un blocco universale.

6. Solo dopo questa baseline, attivare una condizione di heartbeat in una regola pilota strettamente limitata, abilitare il logging e testare il traffico consentito con un endpoint integro.

Contraddizione nella documentazione Sophos: la panoramica di Security Heartbeat per SFOS 22 e 23 afferma in modo generale, nella sezione VPN, che in caso di stato Missing tutto il traffico di questo endpoint viene bloccato dal firewall. La descrizione dettagliata di Heartbeat, invece, fa dipendere l’effetto sull’accesso dalle regole e cita esplicitamente l’eccezione per i controlli di policy in Web > Exceptions: le richieste web non vengono bloccate nonostante Block clients with no heartbeat. Queste affermazioni non sono compatibili tra loro come garanzia generale di isolamento. Per una verifica di accettazione sicura, occorre quindi controllare la regola effettivamente applicata, i requisiti minimi separati per Source heartbeat e Destination heartbeat, le eccezioni pertinenti e l’esito reale dell’accesso. La sola indicazione Missing non dimostra un isolamento completo; questa valutazione si basa sulla documentazione, non su una verifica di appliance o tenant effettuata in questa sede.

Per questo test non si dovrebbe generare uno stato rosso disattivando o manipolando la protezione dell’endpoint. Se Central, Control Center e l’effetto della regola non corrispondono, oppure compare Missing, analizzare sistematicamente gli alert Missing Heartbeat tramite zona, percorso, Rule ID e log.

Per la vista più ampia Control Center > User & device insights, consultare Valutare User & Device Insights in sicurezza. L’articolo spiega i contatori di Heartbeat e applicazioni, i rilevamenti Zero-Day, UTQ, gli errori SSL/TLS e le sessioni firewall, comprese le diverse finestre temporali e la differenza tra nascondere un errore e modificare una policy di decrittazione. Questi indicatori locali non equivalgono a Central Reporting e non dimostrano che ogni endpoint o connessione sia protetto.

Definire l’ambito del monitoraggio Heartbeat e verificare il percorso

In System > Sophos Central > Optional configurations > Missing heartbeat zones, selezionare solo le zone in cui è prevista la presenza di endpoint Sophos gestiti. Gli heartbeat mancanti vengono rilevati solo nelle zone selezionate; stampanti, ospiti, dispositivi IoT e client con un altro EDR non acquisiscono un Sophos Heartbeat tramite la registrazione. L’elenco delle zone e le condizioni di heartbeat delle regole firewall applicabili devono essere coerenti. Sophos documenta un caso particolare: se una policy di heartbeat blocca una zona ma in questo campo non viene aggiunta alcuna zona, il widget di Control Center può comunque mostrare Missing. Un elenco vuoto non dimostra quindi che nessuna policy stia influenzando il traffico.

Prima di modificare l’ambito o una regola pilota, annotare l’elenco originale delle zone, il Rule ID, le opzioni di heartbeat e l’IP, il MAC e lo stato corrente dell’endpoint pilota. Applicare solo la modifica circoscritta prevista. Confrontare poi lo stesso endpoint in Central e Control Center, generare un flusso di test autorizzato con l’endpoint integro e verificare nel Log Viewer il Rule ID applicato e l’esito dell’accesso. Se l’accesso cambia in modo inatteso, ripristinare l’elenco delle zone e le opzioni della regola annotati, ripetere lo stesso flusso e analizzare il percorso, anziché allentare globalmente i requisiti di heartbeat.

Il canale Heartbeat documentato utilizza una connessione TLS cifrata a 52.5.76.173 sulla porta TCP 8347. Central fornisce i certificati che consentono al firewall di associare gli endpoint all’organizzazione corretta; una porta aperta, da sola, non stabilisce questa relazione di fiducia. Prima di diagnosticare uno stato mancante, verificare questi limiti della topologia:

• Una VPN stabilita prima della connessione heartbeat può deviare quel traffico dal firewall locale. Per Sophos Connect IPsec, verificare Remote access VPN > IPsec > Advanced settings > Send Security Heartbeat through tunnel rispetto alla policy di connessione prevista.
• Dietro un router intermedio senza NAT, un endpoint può ancora condividere il proprio stato di integrità, ma il firewall non può rilevare un heartbeat mancante. La visualizzazione di uno stato di integrità non dimostra che il monitoraggio Missing funzioni su quel percorso.
• Dietro un gateway NAT, gli endpoint non possono condividere il proprio stato di integrità con il firewall. Questo limite è diverso da quello del caso instradato senza NAT.
• In modalità TAP, gli endpoint devono poter raggiungere almeno un’interfaccia della zona LAN sempre connessa. Il solo traffico replicato tramite mirroring non basta: gli endpoint ricevono gli indirizzi delle interfacce LAN tramite Central e tentano di inviare il proprio heartbeat a uno di essi.

Interpretare lo stato di integrità senza presumere un isolamento automatico

Connected (green) indica lo stato integro comunicato dall’endpoint; non garantisce che sia stata esclusa ogni minaccia. Warning (yellow) può indicare una PUA, malware inattivo o già rimosso, oppure firme non aggiornate da 24 ore. At risk (red) richiede un’indagine, ad esempio in presenza di malware attivo che non è stato possibile rimuovere, traffico di rete dannoso o protezione che non funziona correttamente. Missing (red) è diverso: il firewall rileva traffico ma non riceve il corrispondente stato di integrità. Confrontare gli eventi dell’endpoint prima di trattare le due etichette rosse come lo stesso incidente.

La vista dettagliata degli endpoint rossi e gialli mostra hostname, IP, utente e tempo trascorso dal cambio di stato. Una voce Missing può rimanere in Control Center e nei report dopo che l’endpoint ha lasciato la rete; cambia quando l’endpoint si riconnette. Non eliminare una voce di questo tipo solo per rendere verde la dashboard. La guida Missing Heartbeat collegata spiega la raccolta delle evidenze, i compromessi nella scelta dei timer, il comportamento Modern Standby supportato e la rimozione delle voci con un ambito strettamente limitato. Gli endpoint inviano il proprio heartbeat ogni 15 secondi; la distribuzione degli elenchi degli endpoint rossi e gialli ogni 30 secondi e il timeout predefinito di 60 secondi per il rilevamento Missing sono meccanismi distinti. Ritardi più lunghi nel rilevamento o nella segnalazione possono ritardare anche gli alert reali.

La protezione dal movimento laterale è un altro controllo distinto: gli altri endpoint interrompono la comunicazione con un endpoint rosso solo quando si applica la corrispondente policy endpoint di Central. Il firewall condivide indirizzi MAC e stati di integrità come proxy Layer-2 all’interno dello stesso dominio di broadcast. Non presumere che questo isoli gli endpoint tra reti instradate o sostituisca le condizioni di heartbeat sul traffico che attraversa il firewall.

La panoramica di SFOS 22 descrive l’identità utente sincronizzata con nome di dominio, nome utente e Active Directory. La panoramica di SFOS 23 documenta inoltre User Principal Name (UPN) e la verifica dell’account tramite Active Directory o Microsoft Entra ID. Non applicare questa descrizione di SFOS 23 a un’installazione SFOS 22 e non presumere che la sola registrazione configuri l’autenticazione dell’identità; prima di utilizzare regole basate sull’identità, verificare il firmware effettivo e la configurazione dei server di autenticazione.

Cosa non sostituisce Sophos Fusion

Sophos Fusion è utile, ma non sostituisce una configurazione del firewall accurata.

Central non sostituisce:

• una pianificazione accurata delle zone e delle interfacce
• regole firewall restrittive
• hardening del Device Access
• MFA per amministratori e portali
• risoluzione dei problemi locali con Log Viewer e Packet Capture
• backup documentati e test di ripristino
• un sistema Syslog esterno, se richiesto dalla conformità o per una lunga conservazione

Sophos Fusion è quindi un ulteriore livello di gestione e reportistica, ma non una scorciatoia per una configurazione di base sicura.

Controlli prima della registrazione

Prima di collegarsi a Sophos Fusion, è utile chiarire cosa si vuole ottenere con la registrazione. Questo evita responsabilità poco chiare, tenant duplicati o servizi attivati inutilmente.

Domande preliminari importanti:

• In quale tenant di Sophos Fusion deve essere registrato il firewall?
• Chi ha nel tenant i diritti necessari per Firewall Management, Reporting, Backup e licenze?
• Il firewall è già registrato in un altro account Central?
• Il firewall ha una sottoscrizione attiva a pagamento diversa da Base Firewall oppure una licenza di supporto Sophos attiva che includa Central Firewall Management, ad esempio Enhanced Support? Verificare la licenza specifica, non soltanto l’esistenza di un contratto di supporto.
• Il firewall dispone di una connessione IPv4 funzionante a Internet?
• Central deve essere utilizzato solo per la panoramica delle licenze e l’inventario oppure anche per management, reporting e backup?
• Si usano gruppi firewall, e i ruoli Admin, Helpdesk e Read-only sono stati testati in pratica?
• I log del firewall possono essere inviati a Sophos Fusion dal punto di vista della protezione dei dati o della conformità?
• Esiste un backup locale aggiornato e una Secure Storage Master Key documentata?
• È chiaro chi, dopo la registrazione, controlla alert, report e task falliti?

Se il firewall è già nell’account sbagliato, è consigliabile consultare prima Trasferire Sophos Firewall in un altro account Sophos Fusion. Per l’inquadramento dei vari account e portali, è utile Portali Sophos: SophosID, Central, Support e accessi al firewall.

Quando non è necessario collegare il firewall

Non è strettamente necessario collegarsi a Sophos Fusion se:

• si gestisce solo un singolo firewall localmente
• non sono necessari report Central
• non è prevista l’integrazione con Sophos Endpoint
• la gestione cloud non è desiderata per motivi organizzativi
• i log sono già inviati a un proprio SIEM o server Syslog

In questi casi, è possibile gestire il firewall localmente. È importante, tuttavia, organizzare correttamente backup, aggiornamenti firmware, monitoraggio e logging.

Quando Sophos Fusion è consigliato

Sophos Fusion è particolarmente consigliato se:

• si gestiscono più firewall
• gli amministratori lavorano da diverse sedi
• i firewall non devono essere direttamente accessibili tramite WebAdmin da Internet
• i backup delle configurazioni devono essere salvati centralmente
• è necessaria la reportistica del firewall
• si utilizzano Sophos Endpoint, MDR, XDR o altri prodotti Sophos Fusion
• si desidera utilizzare Security Heartbeat e Synchronized Security

Attivare il collegamento

Il collegamento viene configurato sul firewall in System > Sophos Central.

Le procedure seguenti utilizzano le etichette dell’interfaccia in inglese documentate per SFOS 22 e SFOS 23; l’interfaccia locale può ancora riportare Sophos Central. Un amministratore locale del firewall deve poter accedere a questo menu. Central Firewall Management richiede comunque una sottoscrizione attiva a pagamento diversa da Base Firewall oppure una licenza di supporto Sophos attiva che includa il diritto a questa funzione, ad esempio Enhanced Support. La sola licenza Base Firewall non basta e il percorso di gestione tramite Internet funziona solo su IPv4.

Prima di generare un OTP: il firewall deve essere già configurato e associato tramite claim al tenant Sophos Fusion previsto. Se la configurazione o il claim non sono ancora completati, seguire prima Configurare Sophos Firewall, eseguire il claim e attivare le licenze e verificare l’assegnazione del dispositivo e delle licenze. La successiva registrazione tramite OTP collega il firewall esistente a Central Management; non ne rivendica la proprietà e non attiva sottoscrizioni. Anche l’assegnazione del firewall a un cliente da parte di un partner non sostituisce il claim.

Esistono due metodi di registrazione tipici:

• OTP da Sophos Fusion: utile quando un partner, un team di progetto o un admin firewall non deve lavorare sul firewall con credenziali Super Admin del tenant Central. In Sophos Fusion, il firewall esistente viene aggiunto in My Products > Firewall Management > Firewalls > Add Firewall tramite numero di serie e viene generato un OTP.
• Credenziali Sophos Fusion: utile quando si effettua la registrazione direttamente sul firewall con un account admin Sophos Fusion adatto. Sophos lo chiama Central Super Admin.

Con coppie HA bisogna lavorare con particolare precisione. Nella registrazione OTP vengono inseriti entrambi i numeri di serie in Sophos Fusion; per nuove coppie HA, l’OTP viene usato sul dispositivo Primary.

Generare un OTP nel tenant corretto

Per un firewall già configurato e associato tramite claim, generare l’OTP in Central prima di passare alla registrazione locale:

1. Accedere al tenant previsto. Un partner deve prima assegnare il firewall al cliente corretto in Partner Dashboard e aprire la console Central Admin di quel cliente. L’assegnazione al cliente non sostituisce il claim.
2. Aprire My Products > Firewall Management > Firewalls > Add Firewall e scegliere Join a firewall that is configured or deployed.
3. In Enter Device Serial Number, inserire il numero di serie previsto e fare clic su Next. Per HA, inserire entrambi i numeri di serie separati da una virgola e verificarli rispetto alla coppia pianificata.
4. Lasciare selezionato Register using OTP e scegliere Copy OTP and Finish. L’OTP è valido per 14 giorni. Condividerlo solo con l’amministratore autorizzato del firewall tramite il canale approvato per la condivisione dei segreti; non includere l’OTP, le password o schermate con credenziali non oscurate nella documentazione di una richiesta di supporto.
5. Sul firewall, scegliere Register > Use OTP, incollare il codice in Enter OTP e fare clic su Register. Per una nuova coppia HA, inserire l’OTP solo sul dispositivo primary. Attivare quindi i servizi Central previsti e ottenere l’approvazione dei servizi descritta di seguito.

Se l’OTP è scaduto o la registrazione non riesce, verificare prima il tenant previsto, il claim, i numeri di serie e la connettività IPv4. Se necessario, ottenere un nuovo OTP dal tenant corretto; non ripetere la deregistrazione e non cambiare la proprietà per aggirare l’errore. Considerare la registrazione confermata solo quando i numeri di serie e lo stato dei servizi corrispondono in entrambe le viste.

La procedura alternativa con credenziali richiede un Central Super Admin. Per questa registrazione non è possibile utilizzare un account amministratore appartenente a un sub-estate Central Enterprise. Tenere distinti l’account del tenant e il ruolo di amministratore locale del firewall; l’OTP consente all’amministratore locale di effettuare la registrazione senza ricevere la password Super Admin del tenant.

Procedura tipica sul firewall:

1. Accedere al firewall.
2. Aprire System > Sophos Central.
3. Selezionare Register.
4. Selezionare Use OTP o Use email address.
5. Inserire OTP o credenziali Sophos Fusion.
6. Completare la registrazione.
7. Attivare Sophos Central services.
8. Selezionare i servizi desiderati.

A seconda delle necessità, è possibile attivare queste opzioni:

• Use Sophos Central reporting / Send reports and logs to Sophos Central: invia dati di log e report a Sophos Fusion.
• Use Sophos Central management / Manage from Sophos Central: consente l’accesso di gestione tramite Sophos Fusion.
• Send configuration backup to Sophos Central: salva backup di configurazione in Sophos Fusion. In pratica, questa opzione dipende dal setup di Central Management e deve essere approvata in Sophos Fusion.

Dovrebbero essere attivate solo le funzioni realmente utilizzate. In ambienti con requisiti di protezione dei dati o conformità, occorre chiarire prima quali dati di log possono essere inviati a Sophos Fusion.

Dopo l’attivazione dei servizi, un account con il ruolo Super admin nel tenant Sophos Fusion interessato deve accettarli in Sophos Fusion:

1. Accedere a Sophos Fusion.
2. Aprire My Products > Firewall Management > Firewalls.
3. Cercare il firewall con Approval Pending.
4. Selezionare accept-services.
5. Sul firewall, verificare se lo stato passa da Waiting for approval from Sophos Central a Managed o connesso.

Il cambio di stato può richiedere alcuni minuti. Se l’indicazione non cambia subito, non ripetere la registrazione. Prima controllare lo stato in Central, la connessione Internet, il DNS e l’ora.

Se davanti al firewall è presente un filtro egress, devono essere raggiungibili anche i corrispondenti servizi e porte Sophos in uscita per Central, reporting e backup.

Portare una coppia HA sotto la gestione Central

Prima di apportare modifiche, distinguere le due situazioni iniziali. Annotare entrambi i numeri di serie, le versioni firmware, i ruoli primary/auxiliary, lo stato HA locale e gli stati dei servizi Central. Tenere disponibili backup aggiornati delle configurazioni, le relative password, la Secure Storage Master Key e un accesso amministrativo locale funzionante. La creazione di una coppia HA è una modifica di manutenzione separata, non una scorciatoia per risolvere problemi di registrazione; Pianificare e gestire le varianti HA di Sophos Firewall descrive quale configurazione fa da riferimento, la sincronizzazione e il piano di ripristino.

• Due firewall standalone sono già gestiti centralmente: preparare HA localmente utilizzando la configurazione prevista per il primary. Entrambi i dispositivi devono utilizzare la stessa versione firmware. Sophos documenta sia Active-Active sia Active-Passive; dopo la creazione della coppia, Central dovrebbe mostrare una coppia HA, non due dispositivi da gestire indipendentemente. Seguire la procedura di preparazione HA prima di consentire alla sincronizzazione di sostituire la configurazione dell’auxiliary.
• Una coppia HA esiste ma non è gestita centralmente: operare sul primary. La documentazione specifica per HA chiama la vista di registrazione Central synchronization e l’azione Register both HA devices. Dopo la registrazione, attivare Central Management e, accanto al firewall primary in Central, selezionare Approval Pending > accept-services con il Super Admin autorizzato. Per la procedura OTP, utilizzare entrambi i numeri di serie e inserire il codice solo sul primary, come descritto sopra, anziché registrare ciascun nodo indipendentemente.

Attendere alcuni minuti, quindi confermare che Central mostri una sola coppia con un’HA icon e i numeri di serie previsti. Verificare localmente i ruoli primary/auxiliary e la sincronizzazione, oltre all’accesso di gestione e a un flusso di test autorizzato in produzione. Le modifiche di configurazione da Central si applicano a entrambi i firewall; la visualizzazione di un solo oggetto non dimostra che sia interessato soltanto il primary.

Se la vista continua a mostrare dispositivi separati o duplicati, confrontare lo stato HA locale, entrambi i numeri di serie, il tenant, l’approvazione dei servizi e la Task Queue prima di modificare la registrazione. Per annullare una modifica limitata alla gestione, ripristinare gli stati dei servizi Central annotati e verificare l’accesso locale e lo stato di integrità HA. Non sciogliere la coppia HA, non rieseguire la procedura guidata di configurazione e non forzare la deregistrazione tramite CLI per correggere un problema di visualizzazione. Annullare la creazione della coppia HA richiede il piano di ripristino HA approvato separatamente; i problemi di registrazione irrisolti o i dubbi su quali nodi siano interessati devono essere inviati a Sophos Support insieme agli stati raccolti.

Analizzare in sicurezza una registrazione bloccata

Con Approval Pending o Waiting for approval from Sophos Central, non ripetere la registrazione e non deregistrare prematuramente il firewall. Controllare prima tenant e numero di serie corretti, l’approvazione da parte di un Super admin del tenant interessato in My Products > Firewall Management > Firewalls, accesso Internet IPv4, DNS, ora e servizi in uscita necessari. In HA devono essere inseriti in Central entrambi i numeri di serie e l’OTP va immesso sul nodo primario. Se lo stato resta bloccato dopo le correzioni, salvare schermate delle due viste di stato, ora, numeri di serie e ruoli HA per Sophos Support.

Eliminare la configurazione di Synchronized Security solo come operazione approvata dal supporto. La documentazione Device Console per SFOS 22 e 23 descrive system synchronized-security central_registration deregister per rimuovere la configurazione di Synchronized Security da Sophos Fusion o Sophos Central quando blocca la registrazione o la deregistrazione. Il caso previsto qui è un firewall esistente la cui registrazione resta bloccata da Synchronized Security dopo le verifiche precedenti, con questa causa confermata da Sophos Support. Non si tratta né della deregistrazione completa del dispositivo tramite Deregister nella sezione seguente né della pulizia del database interno tramite SQL. Il comando modifica lo stato; non è un test diagnostico di sola lettura né una soluzione generica per Approval Pending.

Prima di qualsiasi esecuzione, documentare nel caso di supporto il tenant previsto e quello attuale, il dispositivo e il numero di serie, la versione esatta di SFOS incluso il build, lo stato di registrazione, i servizi Central attivi, Security Heartbeat, Synchronized Application Control e le regole interessate con il loro effetto attuale. In HA, includere entrambi i numeri di serie, i ruoli primary/auxiliary, lo stato di sincronizzazione e l’ambito dei nodi interessati espressamente confermato. Verificare e mantenere l’accesso locale autorizzato a WebAdmin e alla console, indipendente dal percorso di gestione Central. Tenere disponibili un backup locale aggiornato, la relativa password e la Secure Storage Master Key.

Non eseguire senza approvazione specifica per il build. Sophos Support deve prima confermare che la rimozione della configurazione è adatta al caso, l’impatto previsto su registrazione, servizi, traffico dipendente da Heartbeat e HA, e la procedura di ripristino, comprese eventuali registrazioni e approvazioni dei servizi necessarie. La sintassi documentata non garantisce né servizi invariati né il ripristino reversibile dello stato precedente; nemmeno un backup, da solo, dimostra tale percorso di ripristino. Se impatto, ambito dei nodi o ripristino non sono chiari, sospendere l’esecuzione e mantenere il caso con il supporto. Non sostituire l’operazione con modifiche SQL o con una deregistrazione completa forzata.

Dopo un’operazione espressamente approvata, verificare secondo il piano del supporto la registrazione nel tenant corretto e le due viste di stato, i servizi previsti e l’accesso locale indipendente. Controllare anche Security Heartbeat con l’endpoint pilota gestito, il riconoscimento delle applicazioni ove applicabile, l’effetto delle regole interessate, il traffico di produzione, i log e, in HA, ruoli e sincronizzazione. Un firewall nuovamente visibile non basta a dimostrare il successo. In caso di risultati inattesi, raccogliere lo stato e seguire il piano di ripristino approvato con Sophos Support, anziché ripetere il comando.

Modificare i servizi Central o deregistrare

Disattivare Security Heartbeat, Synchronized Application Control o Sophos Central management non elimina la registrazione in Central. I servizi non sono però indipendenti: disattivare Security Heartbeat disattiva anche Synchronized Application Control, e gli endpoint e il firewall smettono di scambiarsi informazioni sullo stato di integrità. Una pausa di Heartbeat interessa quindi più di un servizio.

Prima della modifica, annotare in System > Sophos Central i precedenti stati di attivazione o disattivazione sia di Security Heartbeat sia di Synchronized Application Control, oltre allo stato del servizio interessato. Disattivare quindi il servizio previsto, salvare e controllare sia gli stati dei servizi interessati sia che il firewall resti registrato.

Per tornare indietro, ripristinare il servizio interessato e i due stati documentati, quindi far accettare in Central un’eventuale nuova approvazione da un Super admin del tenant interessato. Verificare esplicitamente Security Heartbeat e Synchronized Application Control separatamente, senza presumere che la sola attivazione di Heartbeat ripristini correttamente entrambi. Se Heartbeat era attivo, utilizzare un endpoint pilota gestito per controllare lo stato di integrità corrente e il contatore Connected corrispondente in Control Center, come descritto sopra. Se Synchronized Application Control era attivo, verificare anche il riconoscimento delle applicazioni in Applications > Synchronized Application Control con l’endpoint pilota; Utilizzare Application Control in modo mirato spiega il relativo percorso di validazione.

La deregistrazione completa è una fase distinta e pianificata:

1. Creare un backup locale aggiornato e conservare password e Secure Storage Master Key. Documentare tenant, numeri di serie, servizi attivi, gruppi firewall, task in sospeso, reporting e backup Central. In HA, annotare entrambi i nodi e i ruoli.
2. Verificare l’accesso WebAdmin locale con un account autorizzato. Completare i task Central in sospeso o documentarne lo stato e scegliere una finestra di manutenzione. Non usare i backup Central come unica possibilità di ripristino, perché vengono eliminati quando il firewall è rimosso da Central Management.
3. Sul firewall aprire System > Sophos Central e scegliere Deregister. Non usare comandi Device Console o Advanced Shell non documentati come scorciatoia.
4. Verificare localmente che il firewall non risulti più gestito da Central. In My Products > Firewall Management > Firewalls, controllare lo stato dell’oggetto; un oggetto residuo non equivale a una registrazione funzionante. Verificare poi accesso locale, traffico di produzione, logging e, in HA, stato del cluster.

Per annullare la modifica, registrare nuovamente il firewall tramite il normale flusso OTP o super amministratore, far accettare i servizi necessari in Central da un Super admin del tenant interessato e ripetere i test specifici. Se Deregister non è disponibile, l’operazione resta bloccata o l’ambito HA è incerto, non forzarla via CLI. Inviare gli stati raccolti a Sophos Support.

Controllare dopo il collegamento

Dopo la registrazione, non si dovrebbe solo verificare se il firewall è visibile in Sophos Fusion. È fondamentale verificare se i servizi attivati funzionano effettivamente e se le responsabilità sono chiare.

Controllo post-registrazione utile:

1. In Sophos Fusion, verificare se modello, numero di serie e stato della licenza sono visualizzati correttamente.
2. Sul firewall, in System > Sophos Central, verificare se i servizi desiderati sono attivi e collegati.
3. Se si utilizza Manage from Sophos Central, aprire My Products > Firewall Management > Firewalls in Central e fare clic sul nome del firewall per aprire la relativa console WebAdmin. Attendere qualche secondo e verificare l’accesso con il ruolo amministrativo previsto; mantenere disponibile un percorso di amministrazione locale funzionante durante il test.
4. Se la reportistica è attiva, controllare nel Log Viewer e in Sophos Fusion se gli eventi attuali vengono ricevuti.
5. Se i backup cloud sono attivi, configurare il backup pianificato e documentare l’ultimo backup riuscito.
6. Verificare avvisi, ruoli e responsabilità in Sophos Fusion.
7. Se le modifiche vengono distribuite tramite Central, controllare la Central Firewall Management Task Queue.

Soprattutto con più firewall, la registrazione dovrebbe essere inclusa nella documentazione interna: tenant, numero di serie, posizione, servizio Central attivo, conservazione dei report, intervallo di backup e persona responsabile.

Validare separatamente i servizi Central

Dopo la registrazione non basta controllare lo stato globale di Central. I singoli servizi hanno sintomi di errore diversi e devono quindi essere verificati separatamente.

• Registrazione e inventario: il firewall compare nel tenant corretto, e numero di serie, modello, licenza e sede sono corretti.
• Manage from Sophos Central: l’accesso tramite Central funziona con il ruolo amministrativo previsto, senza lasciare WebAdmin inutilmente accessibile dalla WAN.
• Central Reporting: un evento generato volontariamente compare nel Report Hub con firewall, ora, ID regola o tipo di log corretti.
• Backup Central: un backup pianificato o manuale termina correttamente, e intervallo, password e Secure Storage Master Key sono documentati.
• Conservazione dei backup: i cinque backup Central più recenti e un eventuale backup conservato permanentemente sono noti. In HA è chiaro che il Primary genera il backup.
• Alerting dei backup: backup Central falliti generano alert ed e-mail che vengono controllati da una persona responsabile.
• Central Tasks: dopo una modifica in Central, la Task Queue viene controllata finché il task non è completato correttamente o inoltrato al livello di supporto appropriato tramite una procedura chiara.
• Security Heartbeat: Sophos Fusion mostra lo stato previsto dell’endpoint pilota e il contatore corrispondente in Control Center è coerente. Le restrizioni basate sulle regole vengono testate gradualmente solo dopo questa baseline.
• Avvisi e responsabilità: è chiaro chi controlla regolarmente task non riusciti, problemi di backup, lacune nel reporting e avvisi di licenza.

Questa separazione evita un tipico errore operativo: un firewall può essere visibile in Sophos Fusion mentre reporting, backup o task Central non funzionano correttamente.

Errori tipici

Firewall registrato nell’account Central sbagliato

Questo accade spesso in caso di cambi di fornitore, account di prova o più account SophosID storici. In questo caso, non si dovrebbe semplicemente tentare una seconda registrazione. Prima chiarire dove si trova attualmente il firewall, chi ha accesso al tenant e se è necessario un trasferimento dell’account.

Central Management confuso con WebAdmin locale

Manage from Sophos Central è un percorso di accesso aggiuntivo. La WebAdmin Console locale, gli utenti amministrativi locali, MFA, Device Access e SSH rimangono controlli di sicurezza indipendenti. È particolarmente importante che WebAdmin non rimanga accessibile dalla WAN solo perché Central Management non è ancora stato testato.

La vista Central non viene validata localmente

Per criteri di gruppo, cluster HA, regole WAF e task firmware, Central non deve essere considerato l’unica fonte di verità. Central può mostrare che una modifica è pianificata, applicata o visibile. Conta però se il firewall interessato ha elaborato la modifica e se il traffico o il servizio reale funziona dopo l’intervento.

In pratica: dopo modifiche in Central, controllare Task Queue, vista WebAdmin locale, Log Viewer e, se necessario, Audit Trail. Se l’interfaccia Central continua a caricare, una coppia HA sembra comparire due volte o una regola di gruppo non può essere spostata, non è automaticamente un problema di regola firewall.

Reporting attivato, ma non arrivano dati utilizzabili

In questo caso, si dovrebbe prima verificare se Send reports and logs to Sophos Central è attivo, se i tipi di log appropriati sono attivati e se il firewall può raggiungere Central. Successivamente, nell’articolo Attivare Central Firewall Reporting, controllare i dettagli sulla selezione dei log, la conservazione e i report.

Backup cloud inteso come unico backup

I backup Central sono pratici, ma non sostituiscono una pianificazione completa del recupero. Per le sedi critiche, dovrebbe essere chiaro anche dove si trovano i backup locali, chi conosce la password del backup, se la Secure Storage Master Key è documentata e come si svolgerebbe un ripristino o una reinstallazione tramite immagine (reimage).

Nessuno controlla i task e gli avvisi Central

Central è utile solo se le notifiche e i task falliti vengono gestiti. Soprattutto per le politiche di gruppo, i task del firmware, la reportistica e i backup, dovrebbe essere chiaro chi controlla gli avvisi e come gli errori vengono gestiti internamente.

Domande frequenti