Sophos Firewall Bundles vergleichen

Sophos führt aktuell zwei offizielle Appliance Bundles für Sophos Firewall: Standard und Xstream. Bei Avanet ist zusätzlich Avanet Epic Protection erhältlich. Epic ist kein drittes offizielles Sophos-Bundle, sondern kombiniert Xstream Protection mit den einzeln lizenzierbaren Modulen Email Protection und Webserver Protection.

Diese Unterscheidung ist für Kauf und Renewal wichtig. Sie zeigt, welche Bestandteile direkt von Sophos gebündelt werden, welche Avanet zu einem Paket zusammenfasst und welche Funktionen später einzeln ergänzt oder weggelassen werden können.

Kurzentscheidung: Standard deckt die klassische Gateway-Security ab. Xstream ergänzt erweiterte Analyse-, DNS-, Orchestrierungs-, Reporting- und Active-Threat-Response-Funktionen. Avanet Epic passt, wenn zusätzlich Mail Protection und WAF direkt auf der Firewall betrieben werden sollen.

Die drei kaufbaren Optionen im Überblick

• Sophos Standard Appliance Bundle: Base License plus Standard Protection mit Network Protection, Web Protection und Enhanced Support für klassische Firewall-, IPS-, Web- und Application-Control-Aufgaben.
• Sophos Xstream Appliance Bundle: Base License plus Xstream Protection mit Network Protection, Web Protection, Enhanced Support, Zero-Day Protection, Central Orchestration, DNS Protection und zusätzlichen Active-Threat-Response-Funktionen.
• Avanet Epic Protection: Xstream Protection plus Email Protection und Webserver Protection als Avanet-Paket.

Bei einer XGS Appliance umfasst das Appliance Bundle auch die Base License. Bei Protection-only-, Renewal-, virtuellen oder Cloud-Angeboten können Base License und Schutzabonnements anders ausgewiesen sein. Für die Bestellung zählen deshalb immer das konkrete Angebot, die Plattform und die tatsächlich aufgeführten Komponenten.

Das Bundle ersetzt auch kein Sizing. Ob beispielsweise eine XGS 128 oder XGS 2300 passt, hängt von Durchsatz, Benutzern, TLS Inspection, VPN, Ports, Wachstum und Redundanz ab. Diese Entscheidung erklärt der Sophos Firewall Sizing Guide.

Sophos Standard Appliance Bundle

Standard Protection enthält Network Protection, Web Protection und Enhanced Support. Zusammen mit der Base License entsteht daraus bei einer XGS Appliance das Standard Appliance Bundle.

Network Protection

Network Protection stellt unter anderem IPS, Sophos X-Ops Threat Feeds, SD-RED-Management und Security Heartbeat bereit. Damit lassen sich Angriffe im Netzwerk erkennen, bekannte bösartige Ziele blockieren und der Zustand kompatibler Sophos Endpoints in Firewall-Regeln berücksichtigen.

Web Protection

Web Protection umfasst Web Security and Control, Application Control einschliesslich Synchronized Application Control sowie Web Malware Protection. Damit werden Webzugriffe, Anwendungen und Downloads nach den eigenen Richtlinien kontrolliert.

Enhanced Support

Enhanced Support umfasst während der gültigen Laufzeit den erweiterten Sophos-Support, Firmware- und Feature-Updates sowie den vorgesehenen Hardwareaustausch. Die Base License allein darf nicht mit diesem Supportumfang gleichgesetzt werden. Die Unterschiede erklärt Sophos Firewall Base License verstehen.

Standard ist meist passend, wenn eine Firewall klassische Standort-, Server- oder Clientnetze schützt und IPS, Web Protection, Application Control sowie verlässlicher Support benötigt werden. Das ist keine abgespeckte Firewall: Viele zentrale Schutzfunktionen sind bereits enthalten. Xstream lohnt sich erst, wenn dessen zusätzliche Module fachlich gebraucht und später auch betrieben werden.

Sophos Xstream Appliance Bundle

Xstream enthält den Umfang von Network Protection, Web Protection und Enhanced Support sowie Zero-Day Protection, Central Orchestration und DNS Protection. Bei einer Appliance kommt die Base License hinzu.

Zero-Day Protection

Zero-Day Protection analysiert geeignete Dateien mit Machine Learning, Sandboxing und Threat Intelligence. Das kann unbekannte Schadsoftware erkennen, die mit klassischen Signaturen noch nicht erfasst wird. Die Lizenz allein genügt aber nicht: Richtlinien, unterstützte Dateitypen, Ausnahmen, TLS-Inspection-Konzept und Monitoring bestimmen, welche Daten tatsächlich analysiert werden. Der praktische Ablauf steht unter Sophos Firewall Zero-Day Protection.

TLS Inspection ist dabei kein exklusives Xstream-Merkmal. Network Protection und Web Protection sind bereits in Standard enthalten. Xstream wird durch die zusätzliche Zero-Day-Auswertung interessant, wenn entschlüsselter Traffic und Downloads gezielt einer weitergehenden Analyse zugeführt werden sollen.

Central Orchestration und Reporting

Central Orchestration umfasst die zentrale SD-WAN-VPN-Orchestrierung, Central Firewall Reporting Advanced und den MDR/XDR Data Lake Connector. Das hilft vor allem bei mehreren Firewalls, Standortvernetzungen und wiederkehrenden Änderungen.

Mit einem aktiven Xstream-Bundle steht eine begrenzte Advanced-Reporting-Variante mit bis zu 30 Tagen Aufbewahrung zur Verfügung. Sie erlaubt unter anderem Exporte sowie gespeicherte und geplante Reports. Das separat lizenzierte Central Firewall Reporting Advanced kann Daten bis zu einem Jahr speichern. Central Firewall Reporting bei einer anderen aktiven Firewall-Subscription speichert bis zu sieben Tage. Je nach Firewall-Modell und erzeugtem Datenvolumen kann das Speicherlimit die tatsächliche Aufbewahrung verkürzen. Einrichtung und Betrieb beschreibt Sophos Firewall Central Reporting.

Allgemeines Sophos Central Firewall Management ist nicht dasselbe wie Central Orchestration. Zentrale Verwaltung, Backups oder Firmwareplanung sind bereits mit einer bezahlten Firewall-Subscription, einem Bundle oder einer Supportlizenz möglich; die Base License allein reicht dafür nicht. Bei zentral ausgeführten Änderungen gehört die Sophos Central Firewall Task Queue in die Kontrolle.

DNS Protection und Active Threat Response

Das in Xstream enthaltene DNS Protection schützt DNS-Anfragen über die Firewall-Integration. Es ist nicht mit dem endpointbasierten DNS Protection aus Workspace Protection gleichzusetzen. Die Firewall-Konfiguration zeigt Sophos DNS Protection mit Sophos Firewall.

Bei Threat Feeds muss ebenfalls genau unterschieden werden:

• Sophos X-Ops Threat Feeds gehören zu Network Protection und sind deshalb in Standard und Xstream enthalten.
• Drittanbieter-Threat-Feeds und NDR Essentials setzen Xstream voraus.
• MDR Threat Feeds benötigen zusätzlich eine passende Sophos-MDR-Lizenz in Sophos Central.

Xstream ergänzt die bereits mit Network Protection verfügbaren X-Ops Feeds um Drittanbieter-Feeds, NDR Essentials und die MDR/XDR-Feed-Integration. Ein vollständiger Sophos-MDR-Servicevertrag ist damit nicht automatisch enthalten. In unserer Praxis sind gepflegte Drittanbieter-Threat-Feeds ein besonders greifbarer Xstream-Mehrwert, weil eigene Quellen direkt für Monitoring oder Blockierung genutzt werden können.

Avanet Epic Protection

Avanet Epic Protection kombiniert Xstream Protection mit Email Protection und Webserver Protection. Avanet fasst diesen Umfang für Kauf und Renewal zu einem Paket zusammen; massgeblich bleiben die im konkreten Angebot aufgeführten Komponenten und Laufzeiten.

Epic passt, wenn mindestens eine der zusätzlichen Aufgaben bewusst auf der Firewall betrieben werden soll:

• Email Protection: On-box Anti-Spam, Antivirus, DLP, Verschlüsselung und Malware-Schutz für einen Mailfluss über die Firewall. Die Konfiguration erklärt Sophos Firewall Mail Protection im MTA Mode.
• Webserver Protection: Web Application Firewall für veröffentlichte Webserver und Anwendungen. Architektur und Einrichtung stehen unter Sophos Firewall WAF: Webserver sicher veröffentlichen.

Diese Module sind nicht automatisch in jeder Umgebung sinnvoll. Wenn E-Mail bereits über Sophos Central Email, Microsoft 365 oder ein anderes Secure Email Gateway geschützt wird, kann On-box Email Protection doppelte Komplexität erzeugen. Dasselbe gilt für WAF, wenn Anwendungen bereits hinter einem spezialisierten Reverse Proxy, Cloud-WAF oder Application Gateway liegen.

Epic ist deshalb nicht einfach „mehr ist besser“. Das Paket ist sinnvoll, wenn Xstream, Mail Protection und WAF wirklich benötigt werden und Zuständigkeiten für Quarantäne, Zertifikate, Ausnahmen, Logs und Changes vorhanden sind.

Welches Bundle passt zur Umgebung?

Die Auswahl beginnt beim Betriebsmodell, nicht beim Rabatt.

Standard ist meist ausreichend, wenn:

• IPS, Web Protection und Application Control die wesentlichen Schutzmodule sind;
• eine oder wenige Firewalls ohne zentrale VPN-Orchestrierung betrieben werden;
• bis zu sieben Tage Central Reporting oder ein eigenes Syslog/SIEM genügen;
• Zero-Day-, DNS- und Drittanbieter-Feed-Funktionen nicht vorgesehen sind.

Xstream ist sinnvoll, wenn:

• Zero-Day Protection produktiv in passende Web- oder Download-Policies eingebunden wird;
• Firewall-DNS-Protection oder Drittanbieter-Threat-Feeds eingesetzt werden;
• mehrere Standorte über Central Orchestration verwaltet werden;
• bis zu 30 Tage Central Reporting mit Exporten und geplanten Reports benötigt werden;
• NDR Essentials oder weitere Xstream-gebundene Active-Threat-Response-Funktionen Teil des Sicherheitskonzepts sind.

Avanet Epic passt, wenn:

• die Xstream-Funktionen benötigt werden;
• zusätzlich E-Mail-Verkehr über die Firewall geschützt werden soll;
• veröffentlichte Webanwendungen die integrierte WAF nutzen sollen;
• Mail- und WAF-Betrieb organisatorisch wirklich abgedeckt sind.

ZTNA sollte nicht als enthaltene Xstream- oder Epic-Benutzerlizenz eingeplant werden. Eine Sophos Firewall kann als ZTNA Gateway dienen, das eigentliche Nutzungsrecht für Benutzer gehört jedoch zum separaten Workspace-Protection-Modell. Grundlagen und Komponenten erklärt Zero Trust und ZTNA.

Promo-Angebote und Laufzeiten bewerten

Hardware-Bundles und Mehrjahresaktionen können wirtschaftlich attraktiv sein. Sie ändern aber nicht den technischen Bedarf. Rabatte, Laufzeiten und verfügbare Kombinationen sind modell-, landes- und zeitabhängig und sollten deshalb immer anhand des aktuellen Angebots beurteilt werden.

Vor der Entscheidung helfen fünf Fragen:

1. Welche Module werden ab dem ersten Jahr tatsächlich konfiguriert und überwacht?
2. Welche Funktionen sind erst geplant, und gibt es dafür Termin sowie Verantwortliche?
3. Wie hoch sind Gesamtkosten und Vorauszahlung über die volle Laufzeit?
4. Welche Renewal-Kosten entstehen nach der Aktion?
5. Werden bereits bezahlte Funktionen durch andere Produkte abgedeckt?

Ein günstiges Xstream-Angebot ist sinnvoll, wenn seine Zusatzfunktionen genutzt werden. Werden sie nicht betrieben, kann Standard trotz kleinerem Hardwarevorteil die bessere und übersichtlichere Entscheidung sein.

Was ein Bundle nicht ersetzt

Ein Bundle schaltet Funktionen frei, konfiguriert sie aber nicht. Daraus folgt weder, dass die Firewall richtig dimensioniert ist, noch dass IPS, TLS Inspection, Zero-Day Protection, Reporting, HA oder Backups sinnvoll eingerichtet sind.

Für eine neue Firewall gehören deshalb auch die Konfiguration nach dem Setup Wizard, ein geprüftes Backup- und Restore-Konzept sowie ein kontrollierter Firmware-Update-Prozess zur Planung.

Renewal-Checkliste

Vor einem Renewal sollte die bisherige Auswahl nicht automatisch verlängert werden:

• Seriennummer, Modell und Sophos-Central-Konto prüfen.
• Base License, Support und einzelne Subscriptions getrennt dokumentieren.
• Tatsächlich aktivierte und genutzte Module mit dem Angebot vergleichen.
• Nicht genutzte Module hinterfragen, statt sie still weiterzuführen.
• Neue Anforderungen mit einem konkreten Einführungsplan begründen.
• Reporting-Aufbewahrung, Export und Syslog/SIEM-Anbindung prüfen.
• Firmwarestand, Updateberechtigung und Hardware-Lifecycle einordnen.
• Bei HA beide Nodes, Rollen und Lizenzmodell kontrollieren.
• Bei virtuellen Firewalls Plattform, CPU-Cores, RAM und Base License prüfen.
• Mail-, WAF-, DNS-, MDR- und ZTNA-Lizenzen nicht miteinander vermischen.
• Laufzeit, Vorauszahlung und Kosten nach einer Promo vergleichen.

Die Seriennummer der Sophos Firewall und die Account-Zuordnung sollten vor dem Angebot eindeutig sein. Muss die Firewall den Eigentümer wechseln, erklärt Sophos Firewall in ein anderes Sophos Central Konto übertragen den Ablauf. Bei älteren Appliances hilft Sophos XG vs. XGS: EOL und Migration.

Typische Fehlentscheidungen

• Epic als offizielles drittes Sophos-Bundle behandeln: Angebote und Lizenzanzeigen werden falsch interpretiert. Epic immer als Avanet-Paket aus Xstream, Email und Webserver Protection einordnen.
• Central Management mit Central Orchestration verwechseln: Für normale Central-Verwaltung wird nicht automatisch Xstream benötigt.
• Xstream nur wegen TLS Inspection wählen: TLS Inspection ist kein exklusives Xstream-Merkmal. Entscheidend sind Zero-Day, DNS, Orchestration, Reporting und Active Threat Response.
• MDR als im Xstream-Bundle enthalten ansehen: Xstream stellt Firewall-Funktionen bereit; MDR Threat Feeds benötigen zusätzlich eine passende MDR-Lizenz.
• Email Protection doppelt kaufen: Vorher prüfen, wo der Mailfluss heute geschützt wird.
• Reporting zu spät planen: Bis zu 7, 30 oder 365 Tage Aufbewahrung führen zu unterschiedlichen Betriebs- und Auditmöglichkeiten; das Speicherlimit kann den Zeitraum zusätzlich verkürzen.
• Bundle mit korrektem Sizing gleichsetzen: Lizenzumfang und Hardwareleistung sind getrennte Entscheidungen.

FAQ