Sophos Firewall v22: Overzicht en alle nieuwe functies
Sophos Firewall v22 zet in op verharding, heldere zichtbaarheid en stabiele operationele processen. De gemoderniseerde Xstream-architectuur, een verharde kernel en nieuwe beheerfuncties helpen aanvalsoppervlakken te verkleinen en het beheer te vereenvoudigen. In dit artikel worden alle vernieuwingen van SFOS v22 uitgelegd.
Health Check
De Health Check is de geïntegreerde configuratiecontrole in Sophos Firewall v22. Het doel is om configuratiefouten vroegtijdig zichtbaar te maken voordat ze een beveiligings- of operationeel probleem worden. De functie speelt in op de groeiende dreiging voor aan internet blootgestelde infrastructuur en volgt de Secure-by-Design-benadering volgens CISA-richtlijnen. Sophos heeft de firewall in meerdere releases verhard, patching vereenvoudigd en de detectie tijdens aanvallen verbeterd. Een belangrijk onderscheidend kenmerk zijn Over-the-Air hotfixes zonder downtime en de actieve bewaking van de geïnstalleerde basis door Sophos om vroege aanvalsindicatoren te detecteren.
Waarvoor de Health Check bedoeld is De Health Check beoordeelt tientallen instellingen aan de hand van CIS-benchmarks en gevestigde best practices. Typische controlegebieden zijn verouderde of onveilige TLS-ciphers, te brede beheer- en gebruikerspolicies, ongebruikte of overlappende regels, onnodig blootgestelde diensten en basisverharding rond tijd, authenticatie en logging. Daarmee maakt Sophos Firewall v22 het eenvoudiger om de policy-hygiëne hoog te houden en ongewenste zwakke plekken te elimineren.
Hoe de Health Check werkt In het Control Center toont een dashboardwidget de status. Met één klik komt u in de detailweergave, of via het hoofdmenu onder “Firewall health check”. De resultaten zijn geprioriteerd, toegelicht en via drill-down gekoppeld aan het juiste instellingenscherm. Zo kunnen afwijkingen zonder zoeken worden verholpen.
Hoe men de Health Check in bedrijf gebruikt Voer de Health Check uit vóór go-lives, na policy-wijzigingen, na firmware-updates en daarnaast regelmatig. De check dient als objectieve validatie in CAB-processen en levert auditbewijzen over de voortdurende policy-hygiëne.
De Health Check dekt de configuratiekwaliteit af, niet de hardwaregezondheid. De functie controleert niet of interne databases consistent zijn of dat RAM of SSD schrijffouten vertonen. Een zichtbare statusweergave in de GUI zou hier aanvullend nuttig zijn.
Health Check: controlegebieden in detail
De Health Check toont in het dashboard alle gecontroleerde punten, vergelijkbaar met een beveiligingsaudit. Elk punt toont module, standaard, ernst, status en een directe actie. Zo ziet men in één oogopslag welke configuraties afwijken van best practices. Een selectie van de belangrijkste controles:
- Synchronized Application Control should be turned on.
- NDR Essentials should be turned on and at least on one interface selected.
- Sophos X-Ops should be turned on. An Action should be set to Log and drop.
- MDR threat feeds should be turned on. An Action should be set to Log and drop.
- A firewall rule should have Synchronized Security Heartbeat settings.
- Security Heartbeat should be turned on.
- Login disclaimer should be turned on.
- Hotfix settings should be turned on.
- Remote sessions should be signed out. Sign-ins should be blocked for the specified unsuccessful attempts.
- Password complexity should be configured for users.
- Password complexity should be configured for administrators.
- DNS Protection should be configured and have an active status.
- MFA should be configured for remote access VPN (IPsec and SSL VPN) sign-ins.
- MFA should be configured for web admin console and VPN portal sign-ins.
- The firewall’s connection with authentication servers should be encrypted.
- Backups should be scheduled.
- Public key authentication should be configured for SSH access to the firewall.
- User portal shouldn’t be accessible from WAN.
- Web admin console shouldn’t be accessible from WAN.
- MFA should be configured for the default admin.
- Notification emails should be configured for system and security events.
- Automatic update should be turned on for pattern download and installation.
- A Web policy should be selected in a firewall rule.
- Zero-day protection should be selected in a firewall rule.
- Intrusion prevention should be turned on. An IPS policy should be selected in a firewall rule.
- An Application control policy should be selected in a firewall rule.
- An SSL/TLS inspection rule should have Action set to Decrypt.
- A firewall rule with Action set to Allow shouldn’t have all the network and service settings set to Any.
- Sophos Central reporting should be turned on.
- The firewall should send its backups to Sophos Central.
- The firewall should be registered for Sophos Central management. Sophos Central management should be turned on.
- NTP server should be configured.
Deze lijst laat zien dat de Health Check zowel technische configuraties als organisatorische beveiligingsrichtlijnen dekt.
Sommige punten zijn zonder twijfel zinvol, andere kun je bevragen. Bijvoorbeeld: “Login disclaimer should be turned on”. Zo’n waarschuwingstekst verhoogt de veiligheid maar beperkt: bijna niemand leest hem echt, en in de praktijk wordt hij meestal gewoon weggeklikt. Hij kan echter wel juridische eisen in bepaalde omgevingen afdekken, bijvoorbeeld als gebruiksvoorwaarden of disclaimer. Puur beveiligingstechnisch is het nauwelijks een beschermingsmechanisme, maar eerder een formeel punt dat beveiligingsbewustzijn moet signaleren.
De status van individuele controles kan handmatig worden overschreven. Daardoor kan een punt als “Complies” worden gemarkeerd, ook als het technisch niet wordt vervuld. Er verschijnt dan wel een ⚠️-symbool dat de overschreven status markeert. Zo blijft de transparantie behouden, terwijl er administratieve speelruimte blijft.
Opvallend is ook dat sommige controlepunten sterke verwijzingen naar Sophos Central, MDR, NDR of DNS Protection hebben. Vanuit Sophos gezien is dat natuurlijk ook een vorm van cross-selling, omdat de waarde van de eigen ecosysteemintegratie wordt benadrukt. Toch leveren veel van deze aanbevelingen reële meerwaarde, bijvoorbeeld door geconsolideerd beheer of geautomatiseerde alarmering.
Next-Gen Xstream Control Plane
Met Sophos Firewall v22 heeft Sophos de Xstream Architecture fundamenteel verder ontwikkeld. Terwijl het oorspronkelijke concept in versie 18 werd geïntroduceerd om de prestaties van de XGS-hardware volledig te benutten, mikt de nieuwe generatie op aanzienlijk meer dan alleen prestaties: beveiliging, stabiliteit en toekomstbestendigheid staan centraal.
Een nieuw fundament voor beveiliging en schaalbaarheid
Het herziene Control Plane is volledig opnieuw ontworpen. In plaats van een monolithisch systeem zet Sophos nu in op een modulair framework waarin centrale diensten zoals IPS, Web-Filter en SSL-inspection geïsoleerd van elkaar draaien. Elke dienst werkt als een eigen app binnen de firewall en kan onafhankelijk worden beheerd of opnieuw worden gestart. Daardoor blijven andere functies stabiel, zelfs als een module foutief reageert of crasht.
Vanuit het perspectief van een security engineer is dit een cruciale stap: deze architectuur minimaliseert afhankelijkheden en vermindert de impact van potentiële exploits op individuele componenten. Tegelijk creëert ze de basis voor Zero-Trust-isolatie binnen het systeem – een concept dat tot nu toe vooral bekend was uit moderne cloudplatforms.
Onafhankelijk van hardware en omgeving
Een groot voordeel van de nieuwe Xstream-architectuur is de volledige onafhankelijkheid van propriëtaire hardware. Anders dan bij veel concurrenten is Sophos Firewall v22 niet gebaseerd op speciale ASIC’s of fixed-function chips. De architectuur draait consistent op fysieke hardware, virtuele machines en cloudomgevingen. Dit zorgt voor uniform gedrag over alle platforms heen en vereenvoudigt automatisering in de operatie.
Verbeterde hoge beschikbaarheid met zelfherstel
Nieuw is ook de zelfherstellende logica in HA-clusters. Het Control Plane bewaakt continu de toestand van beide systemen en corrigeert afwijkingen automatisch. Als verschillen in de configuratie of sync-status worden gedetecteerd, start de firewall zelfstandig een correctie. Dit vermindert foutsituaties, verlaagt de onderhoudsinspanning en verbetert de beschikbaarheid merkbaar. In de praktijk betekent dit: minder ongeplande herstarts en stabielere clusterprestaties.
Technisch perspectief en toekomst
De nieuwe Xstream-architectuur legt de basis voor toekomstige functies zoals n-node clustering, volledig gecontaineriseerde beveiligingsdiensten en een volwaardige REST-API voor remote management en automatisering. Daarmee beweegt Sophos Firewall v22 zich duidelijk richting een platformarchitectuur die doet denken aan moderne cloudprincipes: servicegebaseerd, dynamisch en beveiligingsgericht.
Professioneel gezien is deze ombouw meer dan een technische update. Hij verandert de manier waarop firewalls in de toekomst worden ontworpen. Weg van monolithische appliances, naar een flexibele, servicegerichte infrastructuur die snel kan worden aangepast en geautomatiseerd kan worden beheerd. Voor beheerders met hoge eisen aan uptime, compliance en schaalbaarheid is dit een cruciale stap vooruit.
Ik ben het hier volledig mee eens: de heroriëntatie naar CPU-gebaseerde verwerking is technisch absoluut zinvol. Niet alle XGS-appliances beschikken over een NPU die het verkeer versnelt, en vooral virtuele firewalls waren hier altijd in het nadeel. Met de nieuwe architectuur wordt de prestatie weer sterker naar moderne CPU’s verlegd, wat zorgt voor uniform gedrag over alle platforms heen. Bij de oudere XGS-desktopmodellen was de combinatie van CPU en NPU bovendien thermisch veeleisend, wat tot een hoger geluidsniveau leidde. De nieuwe generaties zijn dankzij het wegvallen van deze dubbele processorbelasting duidelijk stiller. Wie de vergelijking nog kent, begrijpt waarom de stap terug naar CPU-optimalisatie strategisch én praktisch zinvol is.
Verharde kernel 6.6+
Sophos Firewall v22 gebruikt een gemoderniseerde Linux-kernel (v6.6+) voor meer beveiliging, prestaties en schaalbaarheid. Centrale aspecten zijn striktere procesisolatie en uitgebreide mitigaties tegen zijkanaalaanvallen en CPU-kwetsbaarheden zoals Spectre, Meltdown, L1TF, MDS, Retbleed, ZenBleed en Downfall. Daarnaast zijn hardened usercopy, Stack Canaries en Kernel Address Space Layout Randomization (KASLR) actief. Dit vermindert de exploiteerbaarheid van geheugenfouten, stabiliseert het runtimegedrag en versterkt het fundament van de Xstream-architectuur.
Remote Integrity Monitoring
Remote Integrity Monitoring in SFOS v22 vult de verharding van de kernel aan met continue bewaking van de systeemintegriteit. Simpel gezegd: de functie controleert op de achtergrond of er iets op de firewall verandert wat niet zou moeten. De ingebouwde Linux-sensor voor XDR registreert beveiligingsrelevante gebeurtenissen op systeem- en dienstniveau – bijvoorbeeld wanneer een onbekend proces start, configuratiebestanden worden gewijzigd of regels worden geëxporteerd, of wanneer kritieke bestanden worden gemanipuleerd.
Deze informatie wordt samen met tijd, gebruiker en bron naar Sophos Central verzonden. Daar kunnen ze worden gekoppeld aan andere gegevens – bijvoorbeeld van endpoints, e-mailgateways of identiteitsdiensten. Dit stelt beheerders in staat ongebruikelijk gedrag sneller te detecteren en gericht te reageren voordat het een groter probleem wordt.
Voor het dagelijks werk van een IT-beheerder betekent dit: als iemand ongemerkt iets aan de firewall probeert te wijzigen of een bestand probeert te manipuleren, wordt dat gedetecteerd en gemeld. De functie helpt dus om stille aanvallen of misconfiguraties vroegtijdig te ontdekken zonder dat voortdurend handmatig gecontroleerd hoeft te worden. Tegelijk ondersteunt ze Sophos bij het centraal bewaken van het gedrag van geïnstalleerde firewalls om patronen of potentiële beveiligingsproblemen te herkennen.
Active Threat Response (Threat Feeds voor WAF en NAT)
Onder feature-request SFSW-I-2618 is eindelijk gedrag geïmplementeerd waar al lang om werd gevraagd. Threat Feeds zijn dynamische lijsten met bekende kwaadaardige IP-adressen die door Threat-Intelligence-aanbieders zoals wij (Avanet Threat Feeds) continu worden bijgewerkt. Ze zijn bedoeld om aanvallen vanaf het internet proactief te blokkeren voordat ze überhaupt in de buurt van een dienst komen.
Tot nu toe werden deze feeds echter uitsluitend gebruikt ter bescherming van de Sophos-portalen. NAT- en WAF-regels bleven buiten beeld – wat er in de praktijk minder uitzag als een ontbrekende functie, maar eerder als een bug.
Met Sophos Firewall v22 is deze beperking nu verholpen. De Threat Feeds worden nu automatisch ook toegepast op NAT- en WAF-regels. Dat betekent: zodra een verbinding vanaf een IP-adres uit een feed wordt gedetecteerd, blokkeert de firewall deze automatisch – ook bij doorsturingen of webserverregels. U hoeft dus geen aparte regels of workarounds meer te onderhouden.
Deze wijziging is een grote stap voorwaarts, omdat de Threat Feeds nu ook productieve diensten zoals webservers beschermen en zo direct bijdragen aan de detectie en afweer van aanvallen. De firewall reageert daardoor in realtime op actuele bedreigingen, zonder dat handmatig ingrijpen nodig is. Een klein, maar technisch belangrijk detail dat de beveiligingswaarde van de Sophos Firewall v22 nogmaals duidelijk verhoogt.
NDR-verbeteringen
Voor uitgaand verkeer worden bron-IP-matches met NDR Essentials en externe feeds ondersteund om gecompromitteerde, onbeheerde apparaten te identificeren en te blokkeren. De NDR Essentials Threat Score verschijnt direct in de logs. Bovendien kan sinds SFOS v21.5 MR1 de regio van het NDR Essentials Data Center expliciet worden gekozen; standaard wordt de regio met de laagste latentie gebruikt.
API Access-controle
De toegang tot de beheer-API kan worden beperkt tot expliciete IP-objecten. Tot 64 vermeldingen maken een duidelijke scheiding mogelijk tussen automatiseringsworkers, managementnetwerken en externe partnertoegang. In change windows kan de toegang tijdelijk worden uitgebreid en daarna weer worden beperkt. Aanbeveling: alleen toestaan vanuit toegewezen managementnetwerken, logging activeren en toegang regelmatig controleren. De configuratie vindt plaats in SFOS v22 onder Administration.
Firmware-updates via SSL met certificate pinning
SFOS v22 valideert updateservers via SSL en certificate pinning. Hierdoor daalt het risico op gemanipuleerde update-infrastructuur. In omgevingen met strikte egress policies moeten de doel-FQDN’s in allowlists worden opgenomen, zodat updates betrouwbaar werken.
HTTP/2 en TLS 1.3 voor Device Access
De Web Admin Console, het VPN Portal en het User Portal gebruiken nu HTTP/2 en TLS 1.3. Deze technologieën zorgen ervoor dat verbindingen sneller worden opgebouwd, stabieler lopen en beter versleuteld zijn. Het verschil is vooral merkbaar bij het inloggen en bij paginaweergaven in de WebAdmin-interface, die duidelijk vlotter reageren.
HTTP/2 bundelt meerdere verzoeken in één verbinding, waardoor de firewall minder wachttijd tussen client en server heeft. TLS 1.3 zorgt tegelijk voor moderne versleuteling met een kortere handshake en hogere beveiliging. In oudere netwerkomgevingen waar nog oude firewalls of proxysystemen in gebruik zijn, is het verstandig vóór activering kort te controleren of alles compatibel is.
Monitoring met sFlow en SNMP-hardwarewaarden
sFlow maakt traffic sampling naar centrale collectors mogelijk om volumepieken, onverwachte flows en anomalieën in realtime te detecteren. De standaard sampling rate is 400, het minimum 10. Er worden tot 5 collectors ondersteund. sFlow kan worden geactiveerd op fysieke interfaces, aliases en VLAN-interfaces. Opmerking: op het monitoring-interface wordt FastPath gedeactiveerd. Aanvullend levert SFOS v22 SNMP-hardwaremetrics zoals CPU- en NPU-temperatuur, ventilatorsnelheden, voedingstatus vanaf XGS 2100 en PoE-vermogenswaarden voor alle XGS-modellen met PoE, behalve XGS 116(w). Een MIB-bestand kan direct in de UI worden gedownload. Kies sampling- en pollingintervallen zo dat kernlinks zichtbaar blijven zonder de collector te overbelasten.
Betere bediening en zoekfuncties
Met SFOS v22 moet de interface aanzienlijk sneller reageren. Bij het wisselen tussen menu’s en tabbladen hoeft niet meer te worden gewacht tot de pagina volledig opnieuw is geladen.
In mijn tests was geen verbetering merkbaar. Toch is het positief dat er aan de snelheid van de gebruikersinterface wordt gewerkt. Hier zit nog steeds veel potentieel, vooral bij het opslaan van firewallregels of bij het laden van interfaceweergaven, waar nog merkbare vertragingen optreden.
XFRM-interfaces kunnen nu direct in de interface worden gefilterd en doorzocht. Bij veel vermeldingen worden ze automatisch over meerdere pagina’s verdeeld, wat het overzicht en beheer van grote IPsec-setups aanzienlijk verbetert.
Ook kleinere verbeteringen zijn in het dagelijks beheer merkbaar: de NTP-serverinstellingen staan nu standaard op “Use pre-defined NTP server”.
UTM-achtige functies in SFOS
Voor iedereen die nog niet van de SG UTM naar SFOS is overgestapt, brengt versie 22 ontbrekende functies. Daartoe behoren MFA-ondersteuning in de WAF, moderne OTP-algoritmen zoals SHA-256 en SHA-512 en Audit Trail-logs met before/after-weergave. Deze uitbreidingen sluiten belangrijke gaten ten opzichte van de eerdere UTM en vergemakkelijken de overstap aanzienlijk. Wie dus nog aarzelt met de migratie, vindt in SFOS v22 nu bijna alle vertrouwde functies – met moderne techniek en betere integratie.
Audit Trail-logs in detail
Fase 1 registreert elke wijziging aan firewallregels, objecten en interfaces. De logs kunnen in het menu Diagnostics > Logs worden gedownload en tonen duidelijk wat precies is gewijzigd – inclusief de waarden voor en na de aanpassing. In toekomstige versies worden deze wijzigingen direct in de Log Viewer getoond, zodat verschillen zonder export direct zichtbaar zijn. Dit verbetert de traceerbaarheid en bespaart tijd bij de analyse van wijzigingen.
Instant Web Category Alerts
Voor beperkte webcategorieën kunnen automatische meldingen worden ingesteld. Deze meldingen informeren met korte tussenpozen, bijvoorbeeld elke vijf minuten, over toegangspogingen tot geblokkeerde websites. Elk bericht bevat details zoals tijdstip, gebruiker, categorie en opgevraagd domein. Dit zorgt voor meer transparantie en vergemakkelijkt de opvolging wanneer herhaaldelijk toegang tot niet-toegestane pagina’s wordt geprobeerd. Vooral in omgevingen met duidelijke richtlijnen, bijvoorbeeld scholen of organisaties met vaste internetregels, is deze functie nuttig. Overtredingen worden automatisch gedocumenteerd en kunnen indien nodig worden nagegaan.
Upgrade naar SFOS v22: paden, duur en aandachtspunten
SFOS v22 brengt ingrijpende wijzigingen in de systeemarchitectuur met zich mee. Daarvoor heeft de firmware iets meer opslagruimte in de rootpartitie nodig. Bij de meeste apparaten (ongeveer 98 procent) verloopt de upgrade automatisch en zonder ingrijpen. Modellen vanaf XGS 2100 hebben al genoeg opslagruimte en worden direct bijgewerkt.
Bij XGS-desktop- en virtuele modellen met een kleinere partitie (1 GB) wordt de opslagruimte bij de upgrade automatisch vergroot. Daardoor duurt het proces iets langer, meestal tussen twee en tien minuten. Slechts enkele systemen – ongeveer drie procent – vereisen handmatige voorbereiding, bijvoorbeeld het verwijderen van oude rapporten of logs om voldoende ruimte vrij te maken.
Apparaten met oudere SSD-firmware moeten deze eerst bijwerken voordat de upgrade naar versie 22 mogelijk is. Zeer oude virtuele installaties die nog op kleine harde schijven of oudere SFOS-versies (vóór versie 18) zijn gebaseerd, hebben extra stappen nodig. In sommige gevallen is eerst een tussenupdate naar versie 21 MR2 nodig voordat de upgrade lukt. Als de datadrager te klein is, blijft alleen een herinstallatie met een grotere harde schijf over.
Aanwijzingen voor alle noodzakelijke stappen verschijnen automatisch in de firewall-interface via meldingen in het Control Center, per e-mail en via waarschuwingssymbolen in Sophos Central. Deze tonen ook een referentiecode die direct naar het passende Knowledge-Base-artikel linkt. Na succesvolle voorbereiding verdwijnt de waarschuwing binnen ongeveer een uur. Voor diagnose zijn bovendien extra CLI-commando’s beschikbaar.
Conclusie
Sophos Firewall v22 overtuigt met een merkbaar sterkere beveiligingsbasis, modulaire structuur en stabielere werking. De Health Check is een doordachte tool die helpt configuraties systematisch te controleren en best practices na te leven. Het nieuwe Control Plane zorgt voor soepelere upgrades en meer betrouwbaarheid tijdens de lopende operatie. Moderne protocollen en uitgebreide telemetrie maken analyse en foutopsporing aanzienlijk efficiënter.
We zijn blij met de duidelijke vooruitgang van Sophos Firewall v22, maar wensen nog steeds dat er wordt gewerkt aan het klonen en groeperen van NAT-regels, zoals bekend is van firewallregels. Ongeveer een jaar geleden hebben we onze wensen verzameld en gepubliceerd. Sindsdien is er veel verbeterd, maar vanuit ons perspectief ontbreken er nog enkele functies. We hopen dat ze in toekomstige versies worden geïmplementeerd.
FAQ
Vanaf wanneer is de Sophos Firewall v22 als GA beschikbaar?
Wat is de nieuwe Health Check en waarvoor wordt deze gebruikt?
Wat is er veranderd aan de Xstream Architecture?
Waarom is de CPU-gebaseerde verwerking nu beter dan de NPU-oplossing van de oudere XGS-serie?
Welke voordelen biedt de nieuwe kernel (versie 6.6+)?
Welke vernieuwingen zijn er bij Threat Feeds?
Hoe verloopt de upgrade naar SFOS v22?
Zijn er nieuwe monitoringfuncties?
Verdere links
- Avanet: Threat Intelligence Feeds voor Sophos Firewall
- Sophos News: Sophos Firewall v22 Early Access
- Sophos Community: SFOS v22 EAP-aankondigingen
Bronnen
- Sophos Firewall OS v22 Key New Features
- Sophos Firewall v22 is now available in early access, Sophos News
- Sophos Firewall v22 EAP is Now Available, Sophos Community, 15.10.2025,
