Sophos Central Firewall Management – functies met SFOS v18

De eerste koppeling tussen de firewall en Sophos Central ontstond met de introductie van Synchronized Security. Kort daarna volgde Sophos Central Firewall Manager. Het functiepakket van deze eerste versie was echter vrij beperkt, waardoor het product aanvankelijk weinig interessant was. Met SFOS v18 is Central Firewall Manager nu aanzienlijk uitgebreid.

Info: wie alle vernieuwingen in de komende SFOS v18 in detail wil leren kennen, vindt hier mijn uitgebreide artikel: Sophos SFOS v18: nieuwe functies in vogelvlucht

Central Firewall Management

Persoonlijk vind ik Sophos Central Firewall Manager (SCFM) een zeer geslaagd hulpmiddel. Het huidige functiepakket is weliswaar nog overzichtelijk, maar de achterliggende visie van Sophos is indrukwekkend. Voor ons is de tool vooral nuttig om bij klanten met meerdere firewalls het overzicht te bewaren. Aan de UTM‑kant vervult Sophos UTM Manager (SUM) deze rol; voor SFOS kan aanvullend Sophos Firewall Manager worden gebruikt. Naar onze mening is die laatste echter slechts beperkt geschikt. Als je kijkt naar de ontwikkeling van SCFM, ligt het voor de hand dat de klassieke Sophos Firewall Manager op termijn wordt vervangen.

Laten we de belangrijkste basisfuncties bekijken en hoe je met Central Firewall Manager aan de slag gaat.

Firewall koppelen

Om de firewallbeheerfuncties te gebruiken, heb je een Sophos Central‑account nodig. Dit account kan gratis worden aangemaakt en ook het firewallbeheer zelf is gratis te gebruiken. In de backend van de firewall kun je via het menu “Central synchronization” een registratie bij Sophos Central uitvoeren. De firewall wordt vervolgens aan Central gekoppeld.

Management

In uw Central-account ontstaat na verloop van tijd een lijst van alle firewalls die u hebt toegevoegd. Met een klik op de naam van een firewall wordt u automatisch aangemeld op de backend van die firewall en kunt u uw configuraties zoals gebruikelijk uitvoeren. Inloggen via Central gaat merkbaar trager dan een directe verbinding met de firewall, maar is wel veel comfortabeler omdat er geen extra login nodig is. Heeft de firewall een dynamisch IP-adres? Geen probleem. Omdat de firewall zelf de verbinding naar Central opbouwt, werkt dit probleemloos.

Welke functies in Central Firewall Manager beschikbaar zijn, hangt af van de firmwareversie die op de betreffende firewall is geïnstalleerd. Sommige functies worden pas vanaf een bepaalde release geactiveerd.

Firmware‑updates

In het firewalloverzicht zie je in één oogopslag welke firmwareversie op de verschillende modellen is geïnstalleerd. Met een klik op “Upgrade” en vervolgens “Upgrade Firmware” kun je de nieuwste beschikbare versie uitrollen.

Ik kan het niet vaak genoeg benadrukken: gebruik de updateknop altijd met de grootste voorzichtigheid. Bereid een update zorgvuldig voor en informeer je vooraf over de wijzigingen die de nieuwe versie met zich meebrengt. We zien regelmatig dat firewallupdates te ondoordacht worden uitgevoerd. Met onze firewall‑onderhoudscontracten nemen wij het patchmanagement van je firewalls over en beschermen we je tegen onaangename verrassingen. 😎

Online back‑up

Met Sophos Central Firewall Manager kun je bovendien geplande of handmatige back‑ups van de firewallconfiguratie maken. In alle gevallen is het aan te raden een dergelijk back‑upconcept in te richten. Tot nu toe konden back‑ups handmatig van de firewall worden gedownload, direct op een FTP‑server worden opgeslagen of per e‑mail worden verzonden.

Toch zien we in de praktijk steeds weer dat er problemen ontstaan zodra er daadwerkelijk een back‑up nodig is. Bij klanten zijn we onder meer de volgende situaties tegengekomen:

• Het e‑mailadres waarheen de back‑ups werden gestuurd, bestond al geruime tijd niet meer – de back‑ups bereikten de mailbox dus nooit.
• De e‑mailbescherming blokkeerde de berichten omdat ze vanaf een dynamisch IP-adres werden verstuurd of omdat het SPF‑record niet correct was.
• Er was wel een back‑up, maar het bijbehorende wachtwoord was niet meer te achterhalen.
• Er was een back‑up, maar die was sterk verouderd.

Er zijn vast nog meer redenen waarom een back‑up in een noodgeval onbruikbaar kan blijken. Veel van deze risico’s worden geminimaliseerd door de online back‑up in Central. Je krijgt een centrale, versleutelde opslaglocatie voor je back‑ups in Sophos Central. Daar zijn ze altijd up‑to‑date en direct beschikbaar als dat nodig is.

Nieuwe functies in v18

De hierboven beschreven functies zijn al beschikbaar vanaf versie 17.5. In de volgende paragrafen bekijken we de nieuwe mogelijkheden die pas met SFOS v18 zijn toegevoegd.

Rapportage

In het verleden bestond er met iView een losstaand Sophos‑product voor centrale rapportage. Strikt genomen bestaat de software nog steeds, maar in de praktijk beschouwen wij een product dat al jaren niet meer wordt doorontwikkeld als feitelijk afgeschreven. Dat Sophos dit nog niet officieel heeft aangekondigd, verandert daar weinig aan. 😅 Voor ons heeft iView geen toekomst meer – maar het idee erachter leeft voort in Central Reporting.

Als je reporting op de firewall inschakelt, worden loggegevens naar Sophos Central gestuurd. Op basis van deze gegevens kunnen vervolgens zinvolle rapporten worden samengesteld.

Central Reporting voor de firewall bevindt zich momenteel nog in de bètafase. Toch geeft de huidige stand al een zeer goed beeld van wat je van de definitieve versie kunt verwachten.

Globale firewallinstellingen

In omgevingen met veel firewalls kan beheer al snel complex worden. Met ongeveer tien firewalls is beheer meestal nog min of meer handmatig te doen; vanaf zo’n vijftig systemen wordt het een echte uitdaging. Met v18 kunnen firewalls in Central op een comfortabele manier in groepen worden ondergebracht.

Binnen de groepspolicy’s staat je een vertrouwd firewall‑interface ter beschikking, waarin je centrale instellingen kunt definiëren en opslaan. Deze configuraties worden vervolgens uitgerold naar alle firewalls in de betreffende groep.

Deze functie is eveneens nog in bèta, wat tijdens tests duidelijk naar voren kwam. Het is nog geen volledig uitgerijpte oplossing en enkele details moeten nog worden uitgewerkt. In grote lijnen zijn we er echter van overtuigd dat de globale firewallinstellingen in de toekomst een belangrijke steun zullen zijn bij het beheer van uitgebreide firewallomgevingen.