Attivare MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access

Per la funzione OTP locale, aprire Authentication > Multi-factor authentication, selezionare prima Specific users and groups, attivare i servizi necessari e testare tutto con un gruppo pilota. All users deve essere utilizzato solo dopo aver completato i test con esito positivo.

MFA protegge WebAdmin, VPN Portal e l’accesso remoto dall’uso della sola password rubata. Non sostituisce però regole di accesso restrittive né un accesso di emergenza verificato. Questo articolo descrive quindi l’intero processo, dall’attivazione sicura alla scelta dell’app, al ripristino e al troubleshooting.

Attivare Sophos OTP in sicurezza

Prima dell’attivazione

Prima della prima modifica, chiarire i seguenti punti:

• Il firewall utilizza l’ora corretta in Administration > Time, preferibilmente tramite NTP.
• Utenti e gruppi sono disponibili localmente o tramite AD, LDAP oppure un altro server di autenticazione.
• Esistono un gruppo pilota e un secondo amministratore verificato.
• Sono note la console e la procedura di ripristino per l’admin predefinito.
• Sono disponibili un backup recente e una procedura documentata per il reset dei token.

Per Active Directory classico, Aggiungere Active Directory a Sophos Firewall spiega come configurare l’origine utenti.

In Administration > Device access si stabilisce da quali zone siano raggiungibili WebAdmin, User Portal, VPN Portal e gli altri servizi locali. Le Local service ACL exception rules limitano ulteriormente l’accesso alle reti di gestione, alle reti VPN o agli indirizzi sorgente noti. Proteggere l’accesso a Sophos Firewall: configurare correttamente Device Access illustra nel dettaglio la procedura di hardening.

SSH non rientra tra i servizi protetti da Sophos OTP. Deve essere limitato tramite Device Access e, dove possibile, utilizzare una chiave pubblica; la procedura è descritta in Connettersi a Sophos Firewall tramite SSH.

⚠️ MFA riduce il rischio associato alle password compromesse, ma non diminuisce la superficie di attacco di un servizio accessibile pubblicamente. WebAdmin, SSH e i portali non devono mai essere esposti più del necessario.

Prima dei test negativi, controllare anche Administration > Admin and user settings > Login security > Block login. Diversi tentativi errati intenzionali possono bloccare l’IP sorgente per WebAdmin, CLI, VPN Portal e User Portal, escludendo anche un amministratore di fallback dalla stessa rete. Deve quindi essere disponibile una seconda origine o l’accesso alla console.

Configurare MFA per un gruppo pilota

1. Accedere a WebAdmin e aprire Authentication > Multi-factor authentication.
2. In One-time password (OTP), selezionare prima Specific users and groups.
3. Aprire Add users and groups, selezionare il gruppo pilota e applicare la selezione.
4. Attivare Generate OTP token with next sign-in se si utilizza un’app di autenticazione.
5. In Require MFA for, selezionare soltanto le interfacce di accesso realmente necessarie.
6. In OTP hash algorithm, scegliere un algoritmo supportato dall’app prevista.
7. Modificare le impostazioni facoltative OTP timestep settings solo se l’app supporta lo stesso intervallo; il valore predefinito è 30 secondi.
8. Salvare con Apply.

Le opzioni utente significano:

• No OTP: MFA è disattivata.
• All users: MFA si applica a tutti gli utenti; utilizzare questa opzione solo dopo il test pilota.
• Specific users and groups: MFA si applica esclusivamente agli account o ai gruppi selezionati.

Quando Generate OTP token with next sign-in è attivo, gli utenti registrano un’app software al login successivo. User Portal viene selezionato automaticamente come servizio MFA. Se l’opzione è disattivata, i token hardware o gestiti manualmente vengono assegnati in Issued tokens.

Selezionare consapevolmente i servizi

In SFOS 22 sono disponibili i seguenti servizi sotto Require MFA for:

• User portal
• Web admin console
• VPN portal
• SSL VPN remote access
• IPsec remote access
• Web application firewall

MFA per User Portal si applica anche a Captive Portal e Client Authentication Agents. Gli utenti di accesso remoto devono prima registrare il token tramite VPN Portal o User Portal.

Per WAF, la sola selezione del servizio non è sufficiente. Da SFOS 22 sono necessari Webserver Protection, una Authentication Policy basata su moduli e la relativa assegnazione alla regola WAF. La procedura completa è descritta in Proteggere Sophos Firewall WAF con MFA.

Scegliere il modello MFA adatto

Sophos OTP locale

Sophos OTP gestisce i token direttamente sul firewall e non richiede un’ulteriore infrastruttura RADIUS o di Identity Provider. È particolarmente adatto per utenti locali normali, piccoli ambienti e per applicare rapidamente l’hardening a WebAdmin o all’accesso remoto.

Il compromesso per la semplicità di implementazione è un token separato dai processi Microsoft 365 esistenti. Utenti e help desk devono conoscere la registrazione dell’app, l’inserimento di password più OTP e la procedura per il cambio di dispositivo.

RADIUS o Entra ID SSO

Una piattaforma MFA esistente può integrarsi meglio nella gestione centralizzata delle identità tramite RADIUS o SSO. Richiede tuttavia test specifici per ogni servizio:

• VPN Portal non supporta RADIUS con MFA challenge.
• Sophos Connect non supporta una challenge OTP. Il client invia insieme password e OTP nel formato passwordotp, ma supporta MFA tramite chiamata e notifica push.
• User Portal e WebAdmin supportano inoltre MFA basata su challenge.
• Con Entra ID SSO, MFA viene eseguita presso l’Identity Provider; la MFA locale di Sophos OTP non può essere aggiunta allo stesso login SSO.
• Entra SSO con Sophos Connect richiede almeno la versione 2.4 del client su Windows. WebAdmin SSO non è disponibile sul dispositivo ausiliario HA.

Per il Remote Access è disponibile la guida dedicata Configurare Microsoft Entra ID SSO per Sophos Connect e VPN Portal. Se invece Entra deve controllare il login WebAdmin e i ruoli amministratore, Entra ID SSO per WebAdmin di Sophos Firewall descrive Role mapping, privilegi minimi, login pilota e accesso locale di emergenza.

Sophos Connect o SSL VPN: quale soluzione scegliere? aiuta a scegliere il modello di accesso remoto; prima del rollout è inoltre opportuno controllare la versione del client Sophos Connect.

Indipendentemente dal modello, iniziare con un gruppo pilota. Aggiungere altri utenti solo dopo aver verificato WebAdmin, i portali, i client VPN reali, i gruppi, i timeout, il logging e il fallback.

Configurare token e app di autenticazione

Registrare e gestire i token

Quando Generate OTP token with next sign-in è attivo, l’utente accede a VPN Portal o User Portal e scansiona il codice QR. Gli amministratori possono registrare il token anche in WebAdmin se MFA viene applicata a tale servizio. Il codice QR appare solo per gli utenti e i gruppi per i quali è configurata MFA.

In Authentication > Multi-factor authentication > Issued tokens è possibile controllare, disattivare temporaneamente, eliminare o aggiungere manualmente i token emessi. È inoltre possibile generare codici monouso aggiuntivi e controllare o sincronizzare lo scostamento temporale di un token.

In caso di smarrimento dello smartphone o cambio di app, eliminare il vecchio token dopo aver verificato l’identità dell’utente. L’utente accede quindi una volta al portale utilizzando soltanto la password e registra il nuovo codice QR visualizzato. Un vecchio token non deve continuare a esistere in parallelo senza controllo.

App e algoritmo hash devono essere compatibili

SFOS 22 supporta SHA1, SHA256 e SHA512. Sophos raccomanda SHA256 o SHA512, ma l’algoritmo scelto deve essere supportato dall’app:

• Sophos Intercept X for Mobile e Google Authenticator supportano SHA256 e SHA512.
• Microsoft Authenticator non supporta questi due algoritmi in questo flusso Sophos. La scansione del codice QR può comunque riuscire, ma il login successivo non va a buon fine.
• Duo Mobile e Okta Verify rientrano tra le app indicate da Sophos; la loro compatibilità con il codice QR e l’algoritmo deve corrispondere al sistema operativo e alla configurazione utilizzati.
• App TOTP diverse vengono approvate solo dopo un vero test pilota.

Su iOS, la scansione del codice QR Sophos non funziona con Google Authenticator, Duo Mobile e Microsoft Authenticator. L’account deve essere creato manualmente usando la chiave Base32 visualizzata. Okta Verify richiede la registrazione manuale tramite Base32 sia su iOS sia su Android. Questo però non risolve la mancata compatibilità di Microsoft Authenticator con SHA256/SHA512.

La precedente app Sophos Authenticator è End of Life dal 31 luglio 2022 e non deve più essere prevista per nuovi rollout.

Per migrare da SHA1 a un algoritmo più robusto:

1. Testare l’app pilota con SHA256 o SHA512.
2. Selezionare il nuovo algoritmo in Authentication > Multi-factor authentication.
3. Eliminare i vecchi token SHA1 in Issued tokens.
4. Fare in modo che gli utenti accedano utilizzando soltanto la password e registrino nuovamente il codice QR o la chiave Base32.
5. Eseguire test di login controllati con un passcode corretto e uno errato.

Durante la migrazione possono coesistere token con algoritmi diversi. I token non eliminati continuano però a utilizzare il vecchio algoritmo.

Inserire correttamente password e OTP

Per i login nativi Sophos OTP, il formato ufficiale è <password><passcode>, senza spazi o separatori.

Esempio:

Password:   LaMiaPasswordSicura
Codice OTP: 123456
Inserimento: LaMiaPasswordSicura123456

Sophos Connect può visualizzare un terzo campo separato tramite otp: true. Il client aggiunge internamente il codice alla password. Questa visualizzazione non modifica il formato inviato al server di autenticazione.

Proteggere e ripristinare l’amministratore predefinito

Attivare MFA per l’admin predefinito

L’utente locale admin predefinito non viene attivato tramite il normale elenco utenti. Aprire Administration > Device access, attivare MFA for default admin e configurare qui il token hardware o software.

Prima devono essere funzionanti un secondo amministratore, l’accesso di gestione e l’accesso alla console. Conservare in modo sicuro i codici monouso aggiuntivi, ad esempio in un password manager. L’admin predefinito rimane un account di emergenza e non viene utilizzato per l’amministrazione quotidiana.

Gli altri amministratori non possono attivare, disattivare, modificare o eliminare il token dell’admin predefinito. L’OTP hash algorithm globale selezionato si applica anche a questo token.

Ripristino tramite Device Console

Se il token è solo temporaneamente indisponibile, Device Console permette un singolo login senza MFA:

1. Inserire 2 per System Configuration.
2. Inserire 6 per Skip multi-factor authentication for next Admin user login.
3. Accedere a WebAdmin e controllare il token.

In caso di dispositivo smarrito o token definitivamente inutilizzabile, reimpostare MFA:

1. Inserire 2 per System Configuration.
2. Inserire 7 per Reset multi-factor authentication for Admin user.
3. Confermare con y.
4. Accedere una volta a WebAdmin utilizzando soltanto la password di amministratore.
5. Seguire le istruzioni per registrare nuovamente MFA, quindi testare di nuovo il login con MFA.

Queste due opzioni modificano soltanto lo stato MFA. Se non si conosce nemmeno la password dell’amministratore predefinito, l’articolo separato sul ripristino della password spiega la procedura seriale documentata per le appliance fisiche e i limiti in caso di perdita sia della password sia di MFA.

Testare, controllare i log ed eseguire il rollout

Testare ogni servizio separatamente

Un login WebAdmin riuscito non dimostra che i portali e i client VPN funzionino allo stesso modo. Prima di un rollout esteso, verificare:

• WebAdmin: Accedere con l’amministratore pilota usando un OTP corretto e uno intenzionalmente errato.
• Default admin: Verificare il percorso Device Access separato e la procedura di ripristino documentata.
• User Portal e VPN Portal: Testare la registrazione tramite QR o Base32 e il login con <password><passcode>.
• SSL VPN e IPsec Remote Access: Testare client reali e lo stesso gruppo di utenti utilizzato in produzione.
• Sophos Connect: Se necessario, testare il terzo campo OTP, i profili client aggiornati e il comportamento di chiamata/push.
• RADIUS o Entra SSO: Verificare timeout, log dell’IdP e il comportamento challenge effettivamente supportato.
• Device Access: Testare l’accesso da una rete sorgente consentita e da una non consentita.

Eseguire soltanto un numero controllato di tentativi errati dopo aver verificato Block login. Il risultato atteso non è solamente un login riuscito: un codice errato deve essere rifiutato, il tentativo deve essere registrato e il servizio deve essere raggiungibile esclusivamente dalle reti previste.

Leggere correttamente i log di autenticazione

In Log viewer, controllare i login riusciti e falliti insieme a servizio, utente, origine, ora e motivo documentato. A seconda dell’evento, SFOS può fornire solo un messaggio generico come credenziali errate. Senza ulteriori evidenze, non dedurre che la causa sia stata esclusivamente la password, l’OTP o un codice scaduto.

Con MFA esterna, i log RADIUS, NPS o IdP fanno parte della stessa verifica. Troubleshooting di Sophos Firewall: servizi e log aiuta a individuare i file di log locali e i servizi. Per conservazione e correlazione più prolungate, consultare Inviare il Syslog di Sophos Firewall a un SIEM.

Prima del rollout esteso

• Gruppo pilota testato con successo con tutti i servizi necessari.
• Secondo amministratore, codici monouso e ripristino tramite Device Console documentati.
• Utenti informati sulla registrazione dell’app e sull’inserimento di password più OTP.
• Procedura di reset dei token definita per smartphone smarriti o nuovi.
• Device Access, blocchi del login e conservazione centralizzata dei log verificati.
• Responsabilità, timeout e fallback definiti per MFA esterna.

Troubleshooting

Token, codice QR e inserimento

Il codice OTP non viene accettato

Per prima cosa confrontare l’ora del firewall e dello smartphone, l’app utilizzata, l’algoritmo hash e l’intervallo. In Issued tokens è possibile controllare e sincronizzare lo scostamento temporale. Dopo una migrazione dell’algoritmo, il vecchio token deve essere stato eliminato e registrato nuovamente.

La modifica del server NTP deve essere pianificata separatamente, poiché il firewall riconnette i tunnel IPsec esistenti.

Il codice QR non appare o non può essere scansionato

L’utente deve appartenere al gruppo MFA selezionato e accedere a VPN Portal o User Portal. Gli amministratori possono registrarsi anche in WebAdmin se MFA è attiva in tale servizio. Il portale e l’origine devono inoltre essere consentiti in Administration > Device access.

Su iOS o con Okta Verify, utilizzare la chiave Base32 invece di scansionare il codice QR quando si applicano le limitazioni indicate.

Il login segnala una password errata

Per un login Sophos OTP nativo, la password deve essere seguita immediatamente dal passcode. Senza un campo OTP separato, la sola password è incompleta.

Accesso, gruppi e Remote Access

Il portale non è raggiungibile

Controllare prima la zona, l’origine e il servizio necessario in Administration > Device access. Una Local Service ACL Exception Rule restrittiva è più sicura di un’autorizzazione WAN generale.

MFA non si applica a Remote Access

Le configurazioni MFA e Remote Access devono utilizzare lo stesso gruppo di utenti effettivamente importato. Quindi reimportare o distribuire il profilo client e testare la connessione con il client reale. Prima della prima connessione VPN, il token deve essere registrato tramite VPN Portal o User Portal.

MFA si applica solo a una parte degli utenti

Non confrontare soltanto i nomi dei gruppi visibili, ma verificare i gruppi effettivamente associati tramite AD, LDAP, RADIUS o Entra ID. Dopo la rimozione di un utente AD da un gruppo MFA, può essere ancora necessario un ultimo login con MFA; solo i login successivi non richiedono più un OTP.

Lockout e MFA esterna

L’amministratore è escluso

Per l’admin predefinito, utilizzare le opzioni 6 o 7 di Device Console descritte sopra. Per un altro amministratore, utilizzare il secondo amministratore predisposto da un’origine consentita, quindi verificare gruppi, token e stato del blocco login.

RADIUS o Entra MFA non funzionano in modo affidabile

Controllare i timeout RADIUS, i log dell’IdP, i gruppi e il comportamento challenge del servizio specifico. Un test riuscito del server di autenticazione non dimostra che un login in produzione tramite VPN Portal, Sophos Connect o WebAdmin funzioni. Testare separatamente ciascuno di questi percorsi.