Sophos Firewall täglich prüfen: Admin-Checkliste für den Betrieb

Eine Sophos Firewall kann technisch erreichbar sein und trotzdem erste Warnzeichen zeigen: Eine WAN-Verbindung flappt, die Diskbelegung wächst, ein Dienst meldet einen Fehler oder fehlgeschlagene Admin-Logins häufen sich. Ein kurzer, wiederholbarer Betriebscheck macht solche Veränderungen sichtbar, bevor daraus ein längerer Ausfall oder ein Security Incident entsteht.

Dieser Ablauf behandelt den aktuellen Betrieb. Der Sophos Firewall Health Check beantwortet dagegen, ob ausgewählte Konfigurationen den Sophos- und CIS-Empfehlungen entsprechen. Beide Prüfungen ergänzen sich, ersetzen einander aber nicht.

Der Zehn-Minuten-Check

Für den täglichen Überblick genügt ein fester Ablauf:

1. Im Control Center neue Messages sowie den Status von Services, WAN, Interfaces, VPN und Uptime prüfen.
2. Unter Diagnostics > System graphs CPU, Memory, Load Average, Disk und die wichtigen Interfaces mit der üblichen Baseline vergleichen.
3. Security-Dashboards und die genutzten Reports für den letzten vollständig verfügbaren Zeitraum auf neue IPS-, Web-, Application-, Zero-day- oder Active-Threat-Response-Ereignisse prüfen.
4. Im Log Viewer fehlgeschlagene administrative Anmeldungen, ungewöhnliche Quellen und die zugehörigen Dienste kontrollieren.
5. Bei HA den verarbeitenden Node und bei zentralem Reporting die erwartete Datenquelle berücksichtigen.
6. Jede relevante Abweichung mit Zeitpunkt, Firmware, Node, Quelle, betroffenem Dienst und nächstem Schritt dokumentieren.
7. Nicht aus einem einzelnen Peak heraus Dienste neu starten, Logs löschen oder Regeln verbreitern. Zuerst Trend, Logs und reale Funktion korrelieren.

Dieser Kurzcheck soll nicht jeden Morgen eine Konfigurationsänderung auslösen. Sein Wert liegt darin, Veränderungen früh zu erkennen und sauber zu entscheiden, ob Beobachtung, Diagnose oder Eskalation nötig ist.

Vier Ansichten, vier unterschiedliche Aussagen

Die wichtigsten Ansichten zeigen nicht dasselbe:

• Control Center: aktueller Überblick über System, Services, WAN, Interfaces, VPN, Uptime und handlungsrelevante Messages.
• System graphs: zeitlicher Verlauf von CPU, Memory, Load Average, Disk, WAN-Transfer und Interface-Zählern.
• Reports: verdichtete Auswertung eines abgeschlossenen Zeitraums. Einige Kacheln und Reportdaten werden nicht sekundengenau aktualisiert.
• Log Viewer: einzelne Ereignisse mit Zeit, Modul, Aktion, Quell- und Zielinformationen sowie je nach Logtyp Rule ID oder weiteren Details.

Eine rote Kachel ist ein Signal, noch keine vollständige Diagnose. Ebenso beweist ein grüner aktueller Status nicht, dass während der Nacht kein kurzer Fehler auftrat. Erst die Kombination aus aktuellem Zustand, Verlauf, Report und Einzelereignis ergibt ein belastbares Bild.

Systemzustand und Verfügbarkeit prüfen

Control Center zuerst lesen

Im Control Center beginnt die Prüfung bei neuen Messages. Sophos zeigt dort unter anderem Registrierungs-, Lizenz-, Reporting-, WAN- oder Upgrade-Probleme an. Einige Meldungen verschwinden nach der Behebung automatisch und lassen sich nicht einfach manuell löschen. Deshalb braucht jede relevante Message einen Owner und einen nachvollziehbaren nächsten Schritt.

Danach werden die tatsächlich genutzten Services, WAN-Verbindungen, Interfaces und VPNs mit dem Sollzustand verglichen. Ein rotes Interface ist nicht automatisch ein Ausfall: Ein ungenutzter Port ohne IP-Adresse oder ein physisches Parent-Interface eines VLANs kann erwartungsgemäss rot erscheinen. Relevant ist die Abweichung vom dokumentierten Design.

Zu einer täglichen Prüfung gehören mindestens:

• unerwartet gestoppte oder degradierte Services;
• WAN-Links, die down sind oder wiederholt den Status wechseln;
• produktive Interfaces mit neuen Errors, Drops oder Collisions;
• wichtige VPN-Verbindungen, die entgegen dem Betriebsplan getrennt sind;
• ein unerwarteter Neustart oder eine ungewöhnlich kurze Uptime;
• neue Messages, die noch keinen Owner oder kein Ticket besitzen.

System graphs gegen eine Baseline lesen

Unter Diagnostics > System graphs werden nicht nur einzelne Spitzen, sondern Muster gesucht. CPU, Memory und Load Average werden gemeinsam mit der Core-Anzahl, dem Traffic und dem betreffenden Zeitraum bewertet. Ein kurzer Peak während Backup, Reporting oder Pattern-Update hat eine andere Bedeutung als dauerhaft hohe Last bei normalem Traffic.

Bei Disk Usage zählt vor allem der Trend. Eine einmalige hohe Belegung und stetiges Wachstum sind unterschiedliche Fehlerbilder. Bei Interfaces helfen Traffic, Errors, Drops und Collisions dabei, eine Firewall-Last von einem Link-, Duplex-, Kabel- oder Switchproblem abzugrenzen.

Die vertiefte Einordnung von Load Average, Offloading, TLS Inspection und System graphs steht unter Sophos Firewall Leistungsdaten richtig interpretieren. Für Speichergrenzen und On-box-Reporting passt Sophos Firewall Speicher und Reports prüfen.

⚠️ Ein einzelner hoher Messwert ist noch kein Grund für einen Service-Neustart. Zeitpunkt, Dauer, wiederkehrendes Muster, betroffener Traffic und Logs müssen zuerst zusammenpassen. Vor einem Neustart werden relevante Logs und bei einem Incident ein CTR gesichert.

Security-Ereignisse und Admin-Logins prüfen

Reports nach Veränderung lesen

Der tägliche Security-Review konzentriert sich auf neue oder deutlich veränderte Muster. Je nach aktivierten Funktionen sind besonders diese Bereiche relevant:

• Reports > Dashboards > Security dashboard für den verdichteten Überblick;
• Reports > Network & threats > Intrusion attacks für IPS-Treffer;
• Reports > Network & threats > Active threat response für blockierte IoCs;
• Reports > Applications & web für riskante, unerwünschte oder blockierte Web- und Application-Nutzung;
• Zero-day-, Security-Heartbeat- oder Wireless-Reports, wenn diese Funktionen produktiv genutzt werden.

Nicht jeder Treffer ist ein Incident. Entscheidend sind Quelle, Ziel, Benutzer, Regel, Aktion, Häufigkeit und zeitlicher Zusammenhang. Ein einzelner Zugriff aus einem Land rechtfertigt keine pauschale Ländersperre. Wiederholte Angriffe auf einen exponierten Dienst oder ein neuer erlaubter High-Risk-Traffic verdienen dagegen eine konkrete Untersuchung.

Für die sichere Einordnung von Quellen und Ländern hilft Schädliche IP-Adressen und Länder blockieren. Wenn ein Paket verworfen wurde, führt Sophos Firewall verworfene Pakete analysieren von Log Viewer und Rule ID bis zur eigentlichen Drop-Ursache.

Fehlgeschlagene Admin-Logins bewerten

Fehlgeschlagene administrative Logins werden nach Zeit, Quell-IP, Zielservice, Benutzername und Wiederholung geprüft. Ein Tippfehler aus dem Managementnetz ist anders zu behandeln als verteilte Versuche aus dem Internet oder wiederholte Anmeldungen auf einem deaktivierten Konto.

Bei auffälligen Versuchen werden zuerst Exposition und Identität geprüft:

1. Ist WebAdmin, SSH, User Portal oder VPN Portal aus der betroffenen Zone überhaupt vorgesehen?
2. Stammt die Quelle aus einem freigegebenen Managementnetz oder einer gezielten Local Service ACL Exception?
3. Ist MFA für den betroffenen administrativen Zugang aktiv?
4. Greifen CAPTCHA, Session Timeout und Block login wie geplant?
5. Gibt es zeitgleiche Konfigurationsänderungen oder erfolgreiche Logins desselben Kontos?

Die Netzfreigabe wird unter Sophos Firewall Device Access und Local Service ACL geprüft. Für Konten, Profile und Offboarding passt Lokale Administratoren und Device-Access-Profile, für den zweiten Faktor MFA für Sophos Firewall aktivieren.

⚠️ Block login kann nach Fehlversuchen die Quell-IP für mehrere Dienste sperren. Werte nicht während eines Incidents aggressiv verschärfen, solange kein getesteter alternativer Admin- und Recoveryweg besteht.

HA, Reporting und Modellgrenzen einordnen

In einem HA-Cluster speichert jeder Node nur die Logs und Reports für den Traffic, den er selbst verarbeitet hat. Bei einem Ereignis wird deshalb der zum Zeitpunkt aktive oder verarbeitende Node ermittelt. Ein leerer lokaler Report auf einem Node beweist nicht, dass im Cluster kein Ereignis stattgefunden hat.

Sophos Central Firewall Reporting kann eine konsolidierte Sicht und längere Aufbewahrung bieten. Die lokale und zentrale Ansicht werden aber nicht als identische Echtzeitquelle behandelt. Central Firewall Reporting aktivieren und betreiben erklärt Logauswahl, Ankunft und Aufbewahrung.

Zusätzliche Grenzen:

• Control-Center-Reports werden periodisch aktualisiert und sind keine sekundengenaue Ereignisanzeige.
• Nach einem Upgrade von einer Version vor SFOS 21 können Reportkacheln zunächst wenig oder keine Daten zeigen, bis die neue Reportdatenbank aktualisiert wurde.
• XGS 87/87w und XGS 88/88w unterstützen keine On-appliance Reports. Dort werden zentrale Logs, SIEM und Monitoring entsprechend wichtiger.
• Fehlende Daten können an Logging, Reportzeitraum, Lizenz, Retention, Disk-Watermark oder dem falschen HA-Node liegen. Sie beweisen nicht automatisch, dass kein Traffic vorhanden war.

Abweichungen dokumentieren und eskalieren

Eine tägliche Prüfung ist erst abgeschlossen, wenn relevante Abweichungen einen nächsten Schritt haben. Für ein Ticket oder Betriebsjournal genügen meist diese Felder:

• Datum, Uhrzeit und Zeitzone;
• Firewallname, Modell, SFOS-Version und Build;
• bei HA: Node, Rolle und letzter Statuswechsel;
• betroffene Funktion, Zone, Interface, VPN oder Regel;
• beobachteter Zustand und erwarteter Sollzustand;
• Screenshot, Reportzeitraum, Logfilter oder Rule ID;
• Auswirkung auf Benutzer oder Dienste;
• Owner, Priorität, nächste Prüfung und Eskalationsweg.

Sofortige Eskalation ist sinnvoll, wenn ein produktiver WAN-Link oder kritischer VPN-Pfad unerwartet ausfällt, ein Schutzdienst gestoppt ist, Diskbelegung weiter wächst, Last dauerhaft hoch bleibt, wiederholte Admin-Angriffe mit erfolgreicher Anmeldung korrelieren oder ein neuer Security-Treffer zu erlaubtem schädlichem Traffic passt.

Beobachtung genügt eher bei einem kurzen erklärbaren Peak, einem absichtlich ungenutzten Interface oder einem bereits bekannten Ereignis mit dokumentiertem Owner und stabilem Funktionsnachweis.

Sinnvolle Prüffrequenz

Sophos schreibt keinen universellen täglichen Rhythmus für jede Ansicht vor. Die Frequenz folgt deshalb Risiko, Betriebszeit und vorhandener Überwachung:

• Täglich oder pro Schicht: neue Messages, gestoppte Services, WAN/VPN/HA, Uptime, kritische Security-Ereignisse und fehlgeschlagene Admin-Logins.
• Wöchentlich: Graph-Trends, Interface-Errors, Diskwachstum, Reportmuster, wiederkehrende Quellen und offene Tickets.
• Nach Changes, Upgrades oder Failover: betroffene Funktion, Logs, Reports, Alertweg und realer Traffic erneut abnehmen.
• Regelmässig ausserhalb des Kurzchecks: Health Check, Regelwerksreview, Backup-Restore-Test, Lizenz- und Zertifikatsablauf sowie Kapazitätsplanung.

E-Mail-Benachrichtigungen oder Monitoring verkürzen die Reaktionszeit, ersetzen die Prüfung aber nicht. Ein Alarmweg ist erst belastbar, wenn Transport, Ereignisauswahl, Empfänger und Reaktion getestet sind. Der vollständige Ablauf steht unter Sophos Firewall E-Mail-Benachrichtigungen einrichten und testen.

Betriebscheckliste

• Control Center auf neue Messages und unerwartete Statusänderungen prüfen.
• Services, produktive WAN-Links, Interfaces, VPNs und Uptime mit dem Sollzustand vergleichen.
• CPU, Memory, Load Average, Disk und wichtige Interface-Zähler gegen die Baseline lesen.
• Security-Reports für den letzten vollständig verfügbaren Zeitraum prüfen.
• Auffällige Ereignisse im Log Viewer mit Quelle, Ziel, Benutzer, Aktion und Rule ID korrelieren.
• Fehlgeschlagene Admin-Logins nach Quelle, Service und Wiederholung bewerten.
• Bei HA den verarbeitenden Node und node-lokale Logs berücksichtigen.
• Keine Neustarts, Loglöschungen oder breiten Regeländerungen ohne Beweissicherung und Rückweg auslösen.
• Jede relevante Abweichung mit Owner, Priorität und nächstem Schritt dokumentieren.
• Nach einer Korrektur nicht nur den Status, sondern auch die reale Funktion erneut testen.

FAQ