Pianificare i report Sophos Firewall e inviarli via e-mail

Sophos Firewall può inviare report locali in formato PDF ogni giorno o ogni settimana. Perché il destinatario riceva un’analisi utile e non un file qualsiasi, il report viene prima verificato manualmente e solo dopo pianificato.

La procedura affidabile è breve:

1. Generare manualmente il report desiderato con il periodo e il filtro previsti.
2. Salvare la selezione come bookmark, se necessario.
3. Creare una pianificazione in Reports > Show report settings > Report scheduling.
4. Verificare il percorso e-mail con Send test mail.
5. Generare e inviare immediatamente il report con Generate now.
6. Controllare nel PDF ricevuto contenuto, periodo, lingua e dati sensibili.

Send test mail e Generate now non verificano la stessa cosa: l’e-mail di prova conferma il trasporto della posta. Solo Generate now verifica anche che il firewall possa generare il report selezionato e inviarlo come PDF.

⚠️ I modelli XGS 87/87w e XGS 88/88w non supportano On-appliance Reporting. Per questi modelli o per un’analisi centralizzata di più firewall, utilizzare Sophos Central Firewall Reporting.

Verificare i prerequisiti

Prima della pianificazione vanno chiariti cinque elementi fondamentali:

• I report locali funzionano: In Reports, il periodo desiderato contiene già dati plausibili. Una pianificazione non può correggere un logging mancante o un database dei report vuoto.
• L’invio e-mail funziona: Mail server, autenticazione, TLS, mittente e destinatario sono configurati in Administration > Notification settings. La procedura completa è descritta in Configurare e testare le notifiche e-mail Sophos Firewall.
• Ora e fuso orario sono corretti: Un’ora di sistema errata rende difficile selezionare e verificare il periodo. Configurare data, ora e NTP spiega la configurazione.
• Lo spazio locale è disponibile: I dati dei report On-box si trovano in /var. Quando viene raggiunta la soglia di arresto, il firewall sospende il reporting. Sophos Firewall: verificare spazio e gestire report spiega stato, soglie di avviso e conservazione.
• Destinatario e finalità sono definiti: Una casella funzionale come firewall-reports@example.net è solitamente preferibile a un indirizzo personale. Deve avere un responsabile che controlli effettivamente i report.

Un PDF può contenere utenti, indirizzi IP, indirizzi MAC, indirizzi e-mail, URL ed eventi di sicurezza. Occorre quindi limitare i destinatari, cifrare il trasporto e considerare la conservazione nella casella di posta. Se si utilizza Data Anonymization per log e report, verificare nel PDF effettivamente ricevuto che i dati previsti siano anonimizzati.

Preparare il contenuto del report

In questo esempio, un report IPS settimanale deve mostrare quali attacchi sono stati rilevati più frequentemente. Nomi e valori vanno adattati al proprio ambiente.

1. Aprire Reports > Network & threats > Intrusion attacks.
2. Selezionare il periodo desiderato.
3. Utilizzare Filter per limitare l’analisi a sistemi, regole o eventi rilevanti, se necessario.
4. Selezionare Generate.
5. Verificare che periodo, hit e ordinamento corrispondano alla domanda prevista.

La finalità operativa dovrebbe essere spiegabile in una frase, ad esempio: «Ogni lunedì, il team di sicurezza verifica gli hit IPS più frequenti della settimana precedente». Questa frase aiuta a decidere quale report, filtro e destinatario siano realmente necessari.

Salvare una selezione ricorrente come bookmark

Un bookmark è utile quando si vuole pianificare una selezione filtrata riutilizzabile anziché un intero gruppo di report.

1. Aprire il report già preparato.
2. Selezionare Bookmark.
3. Inserire un nome descrittivo come Weekly-IPS-Review.
4. Selezionare un gruppo di bookmark adeguato e salvare.

Se non esiste un gruppo adatto, crearne uno in Reports > Show report settings > Bookmark management > Add bookmark group. Un nome come Weekly-IPS-Review descrive finalità e frequenza meglio di Report1.

Dopo il salvataggio, riaprire il bookmark e generare nuovamente il report. In questo modo si verifica che venga effettivamente riutilizzata la selezione prevista. Il periodo esatto del futuro PDF non deve essere dedotto solo dal nome, ma verificato nel PDF generato.

Creare la pianificazione

1. Aprire Reports > Show report settings > Report scheduling.
2. Selezionare Add.
3. Scegliere Report come tipo.
4. In To email address, inserire i destinatari. Più indirizzi devono essere separati da virgole.
5. In Report type, selezionare un gruppo di report o il bookmark preparato.
6. Se disponibile, scegliere l’ordinamento per Hits o Bytes in base alla finalità.
7. In Email frequency, selezionare Daily o Weekly.
8. Salvare.

L’esempio utilizza questi valori:

• Destinatario: firewall-reports@example.net
• Report type: bookmark Weekly-IPS-Review
• Ordinamento: Hits
• Frequenza: Weekly

Questi valori non sono uno standard generale. Per un report sulla larghezza di banda può essere più utile l’ordinamento per Bytes, un report operativo giornaliero richiede Daily, mentre un’altra sede può aver bisogno di un destinatario o bookmark proprio.

I report On-box pianificati vengono inviati come PDF e contengono al massimo 50 record. Questo limite si applica al report inviato via e-mail; non deve essere considerato un archivio completo o un’esportazione di tutti i dati locali. Per più firewall, dati HA consolidati o analisi centralizzate più lunghe, Sophos Central Firewall Reporting è il livello più appropriato.

Da SFOS 21.5 MR1, un report PDF pianificato utilizza la lingua WebAdmin dell’amministratore che ha creato la pianificazione. Se il destinatario deve ricevere il report in tedesco, la pianificazione viene creata da una sessione WebAdmin in tedesco e il risultato viene verificato con Generate now.

Oltre ai report normali, la pianificazione offre anche Security audit report e, se l’integrazione è configurata, ConnectWise. Il Security Audit Report è pensato in particolare per un’analisi passiva in Discover Mode con TAP e SPAN. Questi tipi hanno finalità diverse e non devono essere selezionati solo perché un report normale è vuoto.

Controllare l’invio e il PDF

Dopo il salvataggio non si attende la prima esecuzione regolare.

1. Verificare il trasporto con Send test mail

Selezionare la pianificazione nell’elenco ed eseguire Send test mail. Quindi verificare nella casella di destinazione, nel filtro antispam o nel tracking del mail server che il messaggio sia stato accettato e consegnato.

Un’e-mail di prova riuscita conferma SMTP, autenticazione e consegna di base. Non conferma ancora che il report selezionato contenga dati o possa essere generato come PDF corretto.

2. Verificare l’intero percorso con Generate now

Eseguire quindi Generate now. Il firewall genera immediatamente il report pianificato e lo invia ai destinatari configurati.

Nel PDF ricevuto verificare:

• firewall o sede corretti;
• gruppo di report o selezione del bookmark previsti;
• periodo e timestamp plausibili;
• ordinamento e quantità di dati utili;
• lingua prevista;
• leggibilità di tabelle e grafici;
• nessuna divulgazione non necessaria di dati utente, di rete o di sicurezza.

Solo dopo si osserva la successiva esecuzione regolare. La guida attuale non descrive con sufficiente precisione il rapporto esatto tra ora di esecuzione, fuso orario e periodo del report per poterlo presumere in generale. Il report generato rappresenta quindi la prova di funzionamento.

Funzionamento in un cluster HA

I dati dei report locali non vengono sincronizzati tra i nodi HA. Entrambi i nodi elaborano i dati del traffico che li attraversa. Se il report di un nodo contiene dati, quel nodo può inviare il messaggio pianificato. Di conseguenza, in un cluster HA possono arrivare due e-mail per la stessa pianificazione.

Questa consegna non è automaticamente un errore. Occorre prima confrontare mittente, identità dell’appliance, periodo e contenuto dei due PDF. Per una vista consolidata di entrambi i nodi, Central Reporting è più adatto di due report locali via e-mail.

Dopo un failover HA, la sostituzione di un’appliance o un aggiornamento firmware, verificare nuovamente Generate now. In questo modo emerge se una pianificazione è ancora visibile ma dati, lingua o consegna non corrispondono più alle aspettative.

Circoscrivere gli errori in modo sistematico

Send test mail non riesce

Il problema riguarda allora il percorso e-mail e non ancora il contenuto del report. In Administration > Notification settings si verificano DNS, route, porta, autenticazione, OAuth, TLS, certificato, mittente e destinatario. Il tracking o la quarantena del mail server mostrano se il messaggio è stato accettato o rifiutato.

Non creare più volte la pianificazione. Prima deve arrivare in modo affidabile un’e-mail di prova. I sintomi e i controlli sicuri sono descritti nell’articolo sulle notifiche e-mail.

L’e-mail di prova arriva, ma Generate now non invia alcun report

Il percorso SMTP è così sostanzialmente confermato. Verificare quindi:

1. È selezionato il gruppo di report o il bookmark corretto nella pianificazione?
2. Lo stesso report contiene dati quando viene eseguito manualmente?
3. On-box Reporting è attivo e supportato dal modello di appliance?
4. /var si trova al di sotto della soglia di arresto dei report?
5. Il logging e le funzioni di protezione necessarie per i dati previsti sono attivi?
6. Il messaggio compare nel tracking, nello spam o nella quarantena del mail server?

Nella Device Console, due comandi in sola lettura mostrano lo stato On-box attuale e le soglie di spazio dei report:

show on-box-reports
show report-disk-usage watermark

I comandi non modificano nulla. Ulteriori diagnosi dello spazio e il significato dell’output sono descritti in Gestire spazio e report.

Il PDF è vuoto, incompleto o visualizzato in modo errato

Per prima cosa, generare manualmente lo stesso report con periodo e filtro identici. Se l’analisi WebAdmin è già vuota, mancano dati dei report, logging o eventi corrispondenti. Se solo il PDF contiene dati errati o incompleti, documentare versione e build SFOS, browser, pianificazione, ora di Generate now e un PDF di esempio.

SFOS 22.0 MR2 Build 546 corregge, tra gli altri problemi, un PDF vuoto del dashboard del traffico giornaliero senza On-box Reporting e tabelle o grafici visualizzati in modo errato nei PDF on-demand generati in Chrome. Un sintomo simile su un altro build non è automaticamente lo stesso errore. Prima delle modifiche, verificare il build esatto e confrontarlo con un report generato manualmente.

Per un’analisi più approfondita, correlare l’ora del test con cschelper.log, reportdb.log, garner.log e, se necessario, postgres.log. L’accesso è descritto in Risoluzione dei problemi di Sophos Firewall: Servizi e Log. Una singola voce di log non è un motivo sufficiente per riavviare i servizi di reporting o eliminare i dati dei report.

L’Executive report con 1 month non può essere scaricato in formato PDF

Per SFOS 22.0 MR1 Build 490, Sophos documenta in NC-182976 un problema strettamente circoscritto: in Reports > Dashboards > Executive report, il download del PDF può non riuscire se come periodo si seleziona 1 month. Per prima cosa, verificare il build esatto del firmware, il tipo di report, il periodo e il formato di output. Gli altri report PDF o i report pianificati via e-mail non sono automaticamente interessati.

Nella descrizione, Sophos menziona un download CSV con un periodo di un giorno, ma la colonna separata Workaround della KIL riporta ancora None. Questo export è quindi solo una verifica alternativa limitata. Non sostituisce un report mensile completo e non conferma né il report mensile né il processo di generazione del PDF. Se non funzionano anche altri report, periodi o formati, il problema è più ampio di NC-182976; in tal caso, documentare l’ora e il browser e raccogliere i log indicati sopra, invece di riavviare i servizi di reporting o eliminare i dati dei report.

L’elenco Known Issues attuale indica solo SFOS 23.0 EAP0 Build 253 nel campo Fix versions e annuncia inoltre nella descrizione una correzione per SFOS 22.0 MR3. Al 10 agosto 2026, MR3 non è ancora stato pubblicato e pertanto non è una soluzione disponibile. Se lo stesso sintomo si verifica su MR2 o su un altro build, non attribuirlo automaticamente a NC-182976, ma analizzarlo utilizzando i dati raccolti.

L’e-mail contiene solo 50 voci

Questo è il limite massimo documentato per i report e-mail pianificati. I filtri e la finalità del report vanno scelti in modo che i 50 record più importanti rispondano alla domanda operativa concreta. Se servono dati grezzi completi, uno storico più lungo o analisi di più firewall, è più adatto un workflow di Central Reporting o SIEM.

Lo stesso report arriva due volte

In un cluster HA, entrambi i nodi possono inviare un messaggio se il loro report locale contiene dati. Confrontare mittente, appliance e contenuto prima di eliminare una pianificazione apparentemente duplicata. Su un firewall singolo, verificare invece se due pianificazioni utilizzano la stessa selezione di report e lo stesso destinatario.