Sophos Firewall Pattern-Updates konfigurieren und prüfen

Unter Backup & firmware > Pattern updates kontrolliert man die laufenden Pattern-Updates der Sophos Firewall. Für eine normale Online-Firewall sollte Auto update eingeschaltet sein. Danach das gewünschte Interval wählen und in der Liste prüfen, ob bei den automatisch installierten Signatur-, Engine- und Client-Patterns ein aktueller Zeitstempel und der Status Success erscheinen.

Update pattern now startet bei Bedarf einen sofortigen Abruf dieser Pattern. APX- und RED-Firmware wird damit nicht installiert: Diese Updates benötigen wegen des Geräteneustarts einen bewussten Klick auf Install und gehören in ein Wartungsfenster.

Was ein Pattern-Update aktualisiert

Pattern sind austauschbare Daten- und Softwarepakete für einzelne Komponenten. Dazu gehören beispielsweise Antivirus-, IPS- und Application-Signaturen, Engines, Clients sowie Firmware für verwaltete APX und RED-Geräte. Neue Erkennungen können so eingespielt werden, ohne jedes Mal die komplette SFOS-Firmware zu wechseln.

Ein Pattern-Update ist deshalb nicht dasselbe wie ein SFOS-Firmware-Update. SFOS-Firmware aktualisiert das Betriebssystem der Firewall und kann neue Funktionen oder grundsätzliche Fehlerkorrekturen enthalten. Pattern werden unabhängig davon und komponentenweise aktualisiert. Auch Hotfixes sind ein eigener Updateweg.

Für den Admin ist nicht nur wichtig, dass Auto update eingeschaltet ist. Entscheidend ist, ob der letzte Abruf tatsächlich erfolgreich war und die erwarteten Komponenten eine aktuelle Version anzeigen. Eine aktivierte Automatik kann einen anhaltenden Download- oder Lizenzfehler sonst leicht verdecken.

Automatische Pattern-Updates konfigurieren

1. Backup & firmware > Pattern updates öffnen.
2. Auto update einschalten.
3. Unter Interval auswählen, wie oft die Firewall nach neuen Pattern suchen soll.
4. In der Liste Current version, Available version, Last successful update und Update status kontrollieren.
5. Falls eine sofortige Prüfung nötig ist, Update pattern now anklicken und warten, bis die automatisch installierten Pattern den neuen Zustand anzeigen.

Das Intervall bestimmt nur, wie oft die Firewall nach einem verfügbaren Paket sucht; es sorgt nicht dafür, dass Sophos neue Pattern früher bereitstellt. Ohne besondere betriebliche Vorgabe kann die angebotene Standardeinstellung bleiben. Ein kürzeres Intervall bedeutet deshalb nicht automatisch schnelleren Schutz.

Sophos stellt die Automatik standardmässig bereit. Ein kurzer Blick auf die Übersicht bleibt trotzdem sinnvoll: Ein plötzlich alter Zeitstempel kann auf einen Download-, Lizenz- oder Komponentenfehler hinweisen, auch wenn die Firewall den Internetverkehr weiterhin verarbeitet.

Die Status bedeuten:

• Ready to install: Das Paket wurde bereitgestellt und wartet auf eine manuelle Installation. Bei APX- und RED-Firmware ist das der normale sichere Zustand vor dem Wartungsfenster.
• Downloading: Die Firewall lädt das Pattern gerade herunter. Währenddessen nicht parallel neu starten oder einen zweiten Updateweg auslösen.
• Success: Der letzte Updatevorgang wurde erfolgreich abgeschlossen.
• Failed: Der Abruf oder die Installation ist fehlgeschlagen. Zeitstempel, betroffene Komponente und passende Logs müssen geprüft werden.

Ein einzelnes Success bei einer Komponente bestätigt nicht automatisch alle anderen Zeilen. Beim Prüfen werden deshalb die sicherheitsrelevanten Pattern sowie APX- und RED-Firmware getrennt angesehen.

APX- und RED-Firmware bewusst installieren

Firmware für von der Firewall verwaltete APX und RED-Geräte erscheint ebenfalls als Pattern. Die Firewall lädt sie herunter, installiert sie aber nicht automatisch. Das ist Absicht: APX oder RED starten nach der Installation neu, laufende Verbindungen werden unterbrochen und stellen sich erst nach dem Update wieder her.

Vor Install werden deshalb die betroffenen Geräte, ihr Standort und ein geeignetes Wartungsfenster geprüft. Bei einem entfernten RED-Standort muss ausserdem klar sein, wie lange ein kurzer Verbindungsunterbruch toleriert wird und wer vor Ort erreichbar ist, falls das Gerät nicht zurückkommt.

Bei Wireless betrifft dieser Ablauf nur unterstützte APX-Modelle, die tatsächlich von der Firewall verwaltet werden. AP6 Access Points werden nicht über SFOS oder dessen Pattern-Updates verwaltet; ihre Firmware wird ausserhalb der Firewall über Sophos Central beziehungsweise die lokale AP6-Oberfläche gepflegt. Die Modellabgrenzung und heutige Empfehlung stehen unter Wireless-Netzwerk auf der Sophos Firewall einrichten. Für RED-Geräte zeigt Sophos RED einrichten die vollständige Standortkonfiguration.

Warum IPS-Signaturen fehlen können

Application-Signaturen sind bei Pattern-Updates nicht von einer Network-Protection-Lizenz oder eingeschaltetem IPS abhängig. Bei einer Online-Firewall werden IPS-Signaturen dagegen nur aktualisiert, wenn beide Voraussetzungen erfüllt sind:

• Eine aktive Network Protection Subscription oder Trial-Lizenz ist vorhanden.
• IPS ist unter Protect > Intrusion prevention > IPS policies eingeschaltet.

Fehlt eine dieser Voraussetzungen, kann das Pattern-Update erfolgreich aussehen, während nur Application-Signaturen aktualisiert werden. Das ist kein Widerspruch, sondern das dokumentierte Lizenz- und Betriebsverhalten. Lizenzstatus, eingeschaltetes IPS und die zugewiesenen Regeln werden deshalb gemeinsam geprüft. Die vollständige Einrichtung erklärt IPS Protection auf Sophos Firewall konfigurieren.

Lizenzierte Air-Gap-Firewalls sind eine Ausnahme: Dort werden IPS- und Application-Signaturen über den vorgesehenen Offline-Prozess auch bei ausgeschaltetem IPS aktualisiert. Dieser Sonderbetrieb ist unter Air-Gap-Lizenzierung und Pattern-Updates separat beschrieben.

Fehlgeschlagene Pattern-Updates eingrenzen

Bei Failed wird nicht sofort ein Dienst neu gestartet. Zuerst werden betroffene Komponente, aktuelle und verfügbare Version, letzter erfolgreicher Zeitpunkt sowie Firmware-Build dokumentiert. Danach folgt die Diagnose vom allgemeinen Updateprozess zum betroffenen Schutzmodul.

1. Prüfen, ob die Firewall grundsätzlich Internetzugriff hat und Sophos-Dienste erreicht.
2. Kontrollieren, ob Datum, Uhrzeit und NTP-Synchronisierung sowie die DNS-Auflösung plausibel sind.
3. Update pattern now genau einmal auslösen und den Status bis zum Ergebnis beobachten.
4. Passende Logs sichern, bevor ein Neustart oder weiterer Reparaturversuch alte Hinweise verdrängt.
5. Erst anhand des konkreten Fehlers entscheiden, ob Lizenz, Verbindung, Pattern-Datei, Firmwarestand oder ein einzelner Dienst betroffen ist.

Auf älteren SFOS-22-Builds lohnt sich der Versionsvergleich besonders: Mit SFOS 22.0 MR2 Build 546 hat Sophos einen Fehler behoben, bei dem SAVI- und AVIRA-Pattern-Updates scheiterten und der Antivirus-Dienst stoppte (NC-180066). Ebenfalls behoben wurde ein Fall, in dem der eBPF-Dienst nach einem Pattern-Update nicht mehr reagierte (NC-177769). Passt das Fehlerbild, ist ein geplantes Firmware-Update der sinnvollere nächste Schritt als wiederholte Service-Neustarts. Die beiden IDs erklären jedoch nicht pauschal jeden Pattern-Fehler.

Die Logs lassen sich unter Diagnostics > Tools > Troubleshooting logs herunterladen. Für eine kurze Live-Prüfung öffnet man nach der SSH-Anmeldung an der Sophos Firewall 5. Device Management > 3. Advanced Shell. Diese lesenden Beispiele zeigen jeweils die letzten 100 Zeilen:

Allgemeiner Systemupdate-Prozess:

tail -n 100 /log/u2d.log

Antivirus-Pattern:

tail -n 100 /log/up2date_av.log

IPS- und Application-Signaturen:

tail -n 100 /log/sig_upgrade.log

SFOS garantiert keinen einzelnen Erfolgstext, der in jedem Build identisch aussieht. Deshalb werden Zeitstempel und Fehlermeldungen mit der betroffenen Zeile in der Pattern-Übersicht verglichen. Verbindet sich nur ein aktualisiertes Gerät nicht wieder, passt awed.log für einen verwalteten APX und red.log für eine RED. Die Zuordnung weiterer Dateien und der sichere Umgang mit Logs stehen unter Sophos Firewall Services und Logs.

Bleibt ein Schutzdienst nach einem fehlgeschlagenen Update gestoppt, erklärt Sophos Firewall Services sicher neu starten den nächsten kontrollierten Schritt. Mehrfaches Klicken auf Restart ohne gesicherte Logs erschwert die Ursachenanalyse.

Pattern-Datei unter SFOS 22 manuell einspielen

Der manuelle Upload ist sinnvoll, wenn eine isolierte Umgebung keinen automatisierten Air-Gap-Prozess besitzt oder Sophos Support ausdrücklich einen manuellen Aktualisierungstest verlangt. Für eine normal erreichbare Online-Firewall bleibt die automatische Aktualisierung der bevorzugte Dauerbetrieb.

Für SFOS 22.0 und neuer stellt Sophos eine gemeinsame .tar-Datei für die Pattern aller Module bereit:

Pattern-Datei für SFOS 22 herunterladen

Danach:

1. Backup & firmware > Pattern updates > Manual pattern update öffnen.
2. Choose File anklicken und die unveränderte .tar-Datei auswählen.
3. Mit Upload hochladen und mit OK bestätigen.
4. In der Pattern-Liste prüfen, welche Komponenten erfolgreich aktualisiert wurden.

Die Datei gilt nicht pauschal für ältere SFOS-Versionen. Vor einem manuellen Upload müssen Firewallversion und vorgesehene Datei deshalb zusammenpassen. In einem HA-Cluster wird das Update am aktuellen Primary ausgeführt; die Pattern werden automatisch auf den Auxiliary synchronisiert. Beide Nodes müssen danach einen gesunden HA-Zustand zeigen.

FAQ