Sophos Firewall Discover Mode met TAP en SPAN configureren

In Discover Mode ontvangt Sophos Firewall via een TAP-interface een kopie van het netwerkverkeer. De switch spiegelt geselecteerde poorten of VLAN’s naar een SPAN- of mirror-poort die met een niet-gebonden firewallpoort is verbonden. De firewall staat niet inline en verandert het productiepad van de pakketten niet.

Korte procedure: Zorg voor een afzonderlijke beheertoegang, configureer een bidirectionele SPAN-poort op de switch, kies een niet-gebonden firewallpoort, voer system discover-mode tap add PortD uit in de Device Console en controleer de invoer eerst met Packet Capture. Beoordeel daarna Current Activity, rapporten en indien nodig een Security audit report.

⚠️ Discover Mode is een observatiemodus. Op verkeer op de TAP-interface kunnen geen Security Policies worden toegepast en de firewall kan het niet blokkeren of verwerpen. HTTPS wordt in deze modus niet ondersteund. Een rapport zonder bevindingen bewijst daarom geen volledige zichtbaarheid en evenmin effectieve bescherming.

PortD is een voorbeeld in deze handleiding. Gebruik de fysieke poort die daadwerkelijk vrij is op de appliance.

Discover Mode in acht stappen

1. Controleer een onafhankelijke beheerpoort van de firewall en een veilige herstelroute naar het beheer.
2. Leg op de switch vast welke poorten of VLAN’s in beide richtingen worden gespiegeld.
3. Verbind een speciale mirror-poort met een niet-gebonden fysieke firewallpoort.
4. Leg in de Device Console de uitgangssituatie vast met system discover-mode tap show.
5. Activeer de voorbeeldpoort als TAP met system discover-mode tap add PortD.
6. Controleer onder Network > Interfaces het type Discover, physical (TAP).
7. Genereer een bekende testflow en toon de pakketten daarvan aan op de TAP-interface.
8. Beoordeel pas daarna rapporten, gebruikerstoewijzing en een Security Audit Report.

De switch en de firewall worden afzonderlijk geconfigureerd. Een zichtbare TAP-interface bewijst nog niet dat de switch de juiste frames spiegelt.

Wanneer TAP past en wanneer niet

Discover Mode is geschikt voor een passieve inventarisatie, een proof of concept of een vooranalyse vóór een latere inline-implementatie. Typische doelen zijn:

• verkeersrelaties en actieve applicaties zichtbaar maken;
• web- en applicatiecategorieën binnen de technische grenzen classificeren;
• IPS-detecties observeren zonder het datapad te wijzigen;
• rapporten verzamelen voor latere planning van policies en segmentatie;
• een nieuwe firewall parallel aan de bestaande infrastructuur beoordelen.

TAP is niet de juiste keuze wanneer verkeer al actief moet worden geblokkeerd, ontsleuteld, via NAT gewijzigd of door gebruikersgebaseerde regels gestuurd. Daarvoor is gateway-, bridge- of een andere inline-modus met passende firewallregels nodig.

Discover Mode kan worden gecombineerd met gateway-, mixed- en bridge-modus. De beveiligingsregels gelden dan voor de normale inline-interfaces, niet voor de TAP-interface. Sophos Firewall-zones en interfaces plannen legt uit hoe fysieke poorten, zones, bridges en andere interfacetypen samenhangen.

Welke beveiligingsfuncties werkelijk zichtbaarheid bieden

SFOS 22 maakt in Discover Mode een duidelijk onderscheid tussen detectie en controle. Current activity, rapporten en User Identity zijn beschikbaar. Met het vereiste abonnement zijn ook IPS detection, Sophos X-Ops Threat Feeds, Security Heartbeat, Synchronized Application Control, URL-gebaseerde Web Categorization en signature-based Application Classification beschikbaar. Sophos vermeldt ook MDR Threat Feeds en NDR Essentials als beschikbaar.

De SFOS 23-tabel vermeldt dezelfde functies en grenzen. De abonnementstoewijzing in beide versies helpt de voorwaarden voor de pilot te controleren:

• Base Subscription: Current activity, Reports, User identity en active-passive HA. Ook DoS protection is als beschikbaar gemarkeerd; dit betekent niet dat de passieve TAP-poort het oorspronkelijke productieverkeer kan blokkeren.
• Network Protection: IPS detection, Sophos X-Ops Threat Feeds, Security Heartbeat en Synchronized Application Control.
• Web Protection: URL-gebaseerde Web Categorization via IPS en signature-based Application Classification.
• Xstream Protection Bundle: MDR Threat Feeds en NDR Essentials.

Een beschikbaar abonnement heft de TAP-grenzen niet op. Controleer vóór de pilot de benodigde abonnementen op de daadwerkelijke firewall; de tabel bewijst niet dat elke functie op de appliance actief is.

De bijbehorende controles zijn niet beschikbaar: geen firewall- of gebruikersgebaseerde policy, IPS Control, Web Filtering of Application Filtering. Ook HTTPS Micro Apps, antivirus, e-mailbeveiliging en WAF maken geen deel uit van het TAP-pad. Hetzelfde geldt voor IPv6, netwerkdiensten zoals ARP, routing, DNS en DHCP, Spoofing Protection, VPN, Wireless, Traffic ACL, QoS en RED-beheer. De functietabel van SFOS 22 bepaalt dus de grens van de beoordeling: een zichtbare heartbeat, gebruiker of applicatienaam is telemetrie, geen afgedwongen regel.

Maak daarom geen firewallregel voor de TAP-poort. Network zone: None is de voorwaarde om een eerder gebonden poort vrij te maken; na activering verschijnt deze als Discover, physical (TAP). Configureer zone- en regelobjecten alleen voor de afzonderlijke inline-interfaces van een gemengde implementatie.

Deze grenzen gelden voor het TAP-pad, niet voor de afzonderlijke beheertoegang of andere inline-interfaces. Een gespiegeld DNS-pakket in de capture betekent bijvoorbeeld niet dat de TAP-poort als DNS-server werkt. Beide versies markeren ook Mail usage en Anti-spam als niet beschikbaar: een algemeen verkeersrapport is geen rapport over mailgebruik. Een SAR per e-mail verzenden is een afzonderlijke beheerfunctie, geen bewijs van mailanalyse op de TAP-poort.

Voorbeeldtopologie en vervangbare waarden

Het voorbeeld gebruikt deze componenten:

• Core-switch: SW-Core-01
• Te spiegelen uplink: Switch-Port 1, ontvangen en verzenden
• SPAN-destination: Switch-Port 24
• Firewall-TAP: PortD, niet gebonden en zonder IP-configuratie
• Firewallbeheer: PortA - 10.10.10.16/24
• Testclient: 10.20.30.40

De namen en adressen zijn voorbeelden. De functie is bepalend: de TAP-poort ontvangt alleen de gespiegelde frames. Beheer, updates, DNS en rapportverzending lopen via een andere, normaal geconfigureerde interface.

De mirror-poort moet minstens even snel zijn als het waargenomen verkeer. Als meerdere zwaar belaste bronpoorten naar een tragere bestemmingspoort worden gespiegeld, kan de switch pakketten uit de kopie verwerpen. De productieverbinding kan actief blijven terwijl het rapport onvolledig is. Dit is echter geen garantie voor een overbelaste switch. TAP is daarom geen verliesvrije forensische opname en een ontbrekende gebeurtenis bewijst niet dat deze niet heeft plaatsgevonden.

Voor de dimensionering telt de som van de gespiegelde richtingen: een uplink van 1 Gbit/s die 700 Mbit/s ontvangt en 600 Mbit/s verzendt, kan bij bidirectionele SPAN tot 1300 Mbit/s aan kopieën naar een bestemming van 1 Gbit/s sturen. Zelfs één bronpoort kan de bestemming dus overbelasten. Deze cijfers zijn een rekenvoorbeeld, geen SFOS-prestatielimiet. Vergelijk vóór en tijdens de pilot de switchbelasting en drop-tellers volgens de instructies van de fabrikant. Verklein bij verlies het spiegelbereik in plaats van uit onvolledige rapporten veiligheid af te leiden.

Vereisten en beveiligingsgrenzen

Vóór de activering moeten deze punten duidelijk zijn:

• Een beheerde switch ondersteunt SPAN of port mirroring.
• Een fysieke firewallpoort is niet gebonden en wordt niet productief gebruikt.
• Het beheer blijft via een afzonderlijke interface bereikbaar.
• De firewall heeft internettoegang voor cloudclassificatie, IPS-updates en het genereren van het Security Audit Report.
• Als het rapport gebruikers in plaats van alleen IP-adressen moet tonen, is een geschikte externe authenticatiebron geïntegreerd.
• Doel, bewaartermijn en ontvangers van de gespiegelde gegevens voldoen aan de privacy-eisen.

De gespiegelde frames kunnen interne adressen, DNS-aanvragen, onversleutelde protocollen en communicatieverbanden onthullen. Bewaar Packet Captures en rapporten daarom alleen zolang als nodig en draag ze beveiligd over.

De Discover-handleiding voor SFOS 22 en 23 noemt Microsoft Entra ID, RADIUS, LDAP en Apple Directory als externe authenticatiebronnen. Alleen de SFOS 22-lijst noemt daarnaast Novell eDirectory; dit oudere pad wordt niet als SFOS 23-voorwaarde overgenomen. Voor een bestaande eDirectory-omgeving helpt eDirectory vóór SFOS 23 migreren. Integratie alleen vervangt de afzonderlijke controle van gebruikerstoewijzing in het SAR niet.

Port Affinity correct plaatsen

Voor bepaalde platforms raadt de Sophos-handleiding aan de TAP-interface vóór activering met bind-with aan een CPU te binden. XGS Appliances hebben geen handmatige Port Affinity nodig, omdat de verwerking automatisch over de CPU-cores wordt verdeeld.

Op andere appliances en virtuele platforms is een geschikte CPU-toewijzing afhankelijk van hardware, adapter en belasting. Neem daarom geen CPU-waarde over uit een ander voorbeeld. Als het platform een handmatige toewijzing vereist, wordt die vóór de TAP-uitrol gepland volgens de passende apparaat- of supportrichtlijnen. Een generieke opdracht set port-affinity hoort niet in de normale korte procedure.

Port Affinity kan alleen aan reeds geconfigureerde interfaces worden toegewezen. PortD en CPU 2 zijn vervangbare voorbeelden; leg vooraf de werkelijke Port ID, beschikbare CPU-cores, uitgangsbelasting en rollback vast:

⚠️ De volgende opdrachten zijn syntaxreferenties voor de Device Console, geen configuratiereeks om achter elkaar uit te voeren. De Discover-handleiding raadt CPU-binding vóór TAP aan, terwijl de CLI-help een reeds geconfigureerde interface vereist. Stem deze combinatie op niet-XGS-platforms voor het concrete apparaat met support af voordat de affinity wordt gewijzigd; bind geen productiepoort aan een zone als omweg. add wijzigt de toewijzing en del verwijdert deze, maar herstelt geen eerdere aangepaste toewijzing. Een bestaande toewijzing vereist daarom een gedocumenteerde, goedgekeurde herstelroute. XGS heeft deze handmatige wijziging niet nodig.

set port-affinity add port PortD bind-with cpu 2
set port-affinity del port PortD
set port-affinity defsetup

del verwijdert de toewijzing van de geselecteerde poort. defsetup past de standaardconfiguratie toe en geldt daarom niet als vrijblijvende rollback voor slechts één poort. De gedocumenteerde variant start-with krijgt zonder platformspecifieke richtlijn geen gegokte CPU-waarde. Volgens Sophos is fwonlysetup de Legacy-standaard en verwerkt deze alleen gewoon firewallverkeer, geen Proxy- of IPS-verkeer; het is geen performance-tuning voor een modern systeem.

Port Affinity wordt niet ondersteund op virtuele appliances met Legacy-netwerkadapters; Sophos noemt als voorbeeld een Hyper-V-implementatie met zulke adapters. Na een werkelijk noodzakelijke toewijzing worden CPU-verdeling, pakketverlies, TAP Packet Capture en reportdata met dezelfde testflow vergeleken. Als de wijziging geen reproduceerbaar voordeel oplevert, wordt de gedocumenteerde uitgangssituatie exact hersteld via de vooraf goedgekeurde en voor het concrete platform bevestigde herstelroute. del wordt alleen gebruikt als er vóór de wijziging geen toewijzing voor deze poort bestond, uitsluitend de in deze procedure nieuw ingevoerde toewijzing wordt verwijderd en de platformrichtlijnen bevestigen dat dit de gedocumenteerde uitgangssituatie herstelt. Een eerdere aangepaste toewijzing wordt exact hersteld via de bevestigde herstelroute; del herstelt deze niet. Daarna wordt de herstelde toestand geverifieerd met de voor het platform of door support bevestigde controlemethode; CPU-verdeling, pakketverlies, TAP Packet Capture en rapportgegevens worden opnieuw met dezelfde testflow gecontroleerd. Als de uitgangssituatie of de herstelroute niet is bevestigd, wordt de toewijzing niet gewijzigd; defsetup is geen vervanging voor een onbekende uitgangssituatie.

Bij een virtuele firewall moet bovendien vaststaan dat de hypervisor, vSwitch en virtuele netwerkadapter de gespiegelde frames daadwerkelijk bij de VM afleveren. Alleen de status van de virtuele netwerkadapter bevestigt dit niet; doorslaggevend is het bewijs uit de packet capture in SFOS.

SPAN of port mirroring op de switch voorbereiden

De precieze configuratie is afhankelijk van de fabrikant. Op de switch worden minstens deze waarden ingesteld:

1. Source: de fysieke poort die wordt geobserveerd of de geplande VLAN’s.
2. Direction: ontvangen en verzenden, zodat beide richtingen zichtbaar zijn.
3. Destination: de speciale poort die is verbonden met firewall-PortD.
4. Session status: ingeschakeld.

Gebruik de destination-poort niet tegelijk als normale access- of trunk-poort voor endpoints. Sluit ook de beheerpoort van de firewall niet op de mirror-poort aan. Anders raken beheer- en observatiepad vermengd of ontstaat op de switch een onverwachte Layer 2-topologie.

De TAP- en LAN/beheerpoorten mogen op dezelfde switch worden aangesloten: TAP op de SPAN-poort, LAN/beheer op een andere normale switchpoort.

Documenteer vóór de firewallconfiguratie welke VLAN’s en richtingen de switch werkelijk spiegelt. Bij grote uplinks begint de pilot bij voorkeur met één test-VLAN of een duidelijk beperkte poort in plaats van meteen met al het core-verkeer.

De TAP-interface op Sophos Firewall activeren

Onder Network > Interfaces moet de gekozen poort zone None hebben en mag deze geen IP-configuratie of productieve afhankelijkheid hebben. Maak een gebruikte poort niet alleen voor de test vrij: daardoor kunnen interface hosts, DHCP, routing, regels of andere diensten worden onderbroken.

Variant: eerste configuratie met de assistent (SFOS 22 en 23)

Op een nieuwe firewall kan TAP al in de configuratieassistent worden geactiveerd. Gebruik op een bestaand systeem in plaats daarvan de onderstaande CLI-procedure; TAP vereist geen Factory Reset.

1. Sluit poort A voor afzonderlijk beheer aan op een normale switchpoort en de vrije TAP-poort, hier PortD, op de mirror-poort.
2. Stel de beheercomputer alleen bij een ongewijzigd fabrieksadres in op 172.16.16.2 met masker 255.255.255.0 en open https://172.16.16.16:4444. De gedocumenteerde fabrieksgegevens zijn gebruikersnaam admin en wachtwoord admin; ze gelden niet nadat de inloggegevens zijn gewijzigd. Gebruik in een al aangepaste omgeving het bestaande beheeradres en de eigen inloggegevens. Voer de eerste toegang geïsoleerd uit en vervang het standaardwachtwoord tijdens de configuratie.
3. Kies Click to begin en volg de assistent.
4. Kies op Network configuration (LAN) de optie Enable TAP/discover mode.
5. Selecteer een of meer daadwerkelijk niet-gebonden poorten; in het voorbeeld alleen PortD. De gedocumenteerde uitgangsconfiguratie bindt A, B en C aan LAN, DMZ en WAN. De echte poorttoewijzing is bepalend, niet de letter.
6. Kies Apply, daarna Continue, en voltooi de eerste configuratie.
7. Controleer het interfacetype en voer daarna de hieronder beschreven pakketcontrole uit. Ook de assistent configureert geen port mirroring op de switch.

Variant: activering via de Device Console

Open na de SSH-aanmelding op Sophos Firewall Option 4: Device Console. Lees eerst de bestaande toestand:

system discover-mode tap show

Activeer daarna de geplande voorbeeldpoort en controleer opnieuw:

system discover-mode tap add PortD
system discover-mode tap show

Sophos documenteert bij een succesvolle activering de melding Discover Interface added successfully. De poort verschijnt vervolgens onder Network > Interfaces als Discover, physical (TAP).

De opdracht configureert geen SPAN op de switch. Als de poort ondanks de juiste SFOS-status geen verkeer ontvangt, controleer dan eerst de switchzijde in plaats van op basis van een vermoeden een firewallregel te maken.

Verkeer en rapporten controleren

1. Een gecontroleerde pakketcontrole uitvoeren

Genereer op testclient 10.20.30.40 een duidelijke DNS- of onversleutelde HTTP-test. Gebruik onder Diagnostics > Packet capture een nauw BPF-filter:

host 10.20.30.40

In de capture moeten pakketten met In interface PortD zichtbaar zijn. Bij bidirectionele mirroring verschijnen aanvraag en antwoord. Een Firewall Rule ID of een Forwarded-status is geen succescriterium op het passieve TAP-pad, omdat SFOS dit verkeer niet doorstuurt en er geen Security Policy op toepast.

Voor een zinvolle test moet de flow daadwerkelijk door de gespiegelde bronpoort of het geselecteerde VLAN lopen. Gebruik een goedgekeurde DNS-test of een interne HTTP-testpagina zonder inloggegevens of gevoelige inhoud; schakel de TLS-beveiliging in productie hiervoor niet uit. Noteer testtijd, client, bestemming, protocol en verwachte richting en vergelijk deze met de capture en rapportperiode. Als de client een resultaat krijgt maar geen pakket door de spiegelbron loopt, is dat geen SFOS-storing. Geef bij blijvend ontbrekende zichtbaarheid deze gegevens samen met SFOS-versie, poorttoewijzing en SPAN-configuratie aan support, zonder onnodige pakketinhoud mee te sturen.

Packet Capture in Sophos Firewall WebAdmin legt de bediening, filters en exportgrenzen uit. Stop de capture na de test en bewaar alleen het noodzakelijke tijdvenster.

2. Zichtbaarheid inhoudelijk controleren

Modelbeperking: XGS 87, 87w, 88 en 88w ondersteunen geen lokale rapporten. Op deze modellen bewijst een ontbrekend lokaal rapport daarom niet dat de TAP-configuratie onjuist is; pakketverificatie blijft nodig.

Controleer na de bevestiging in de packet capture Current activities en de passende lokale rapporten. De verwachting moet bij het protocol passen:

• de zichtbare bron- en bestemmingsadressen komen overeen met de test;
• signature-based Application Classification en URL-gebaseerde Web Categorization verschijnen alleen als SFOS de testflow kan toewijzen;
• een IPS-detectie is een observatie, geen blokkering;
• gebruikers verschijnen alleen met een werkende identiteitsbron en correcte toewijzing;
• Security Heartbeat en Synchronized Application Control bieden zichtbaarheid, maar geen TAP-policy;
• HTTPS-inhoud en HTTPS Micro Apps worden in Discover Mode niet ondersteund.

Test de externe gebruikersbron afzonderlijk. Voor Active Directory helpt Active Directory met Sophos Firewall verbinden. Een ontbrekende gebruikersnaam betekent anders niet automatisch dat het TAP-verkeer ontbreekt.

3. Een Security Audit Report genereren

Selecteer onder Reports > Show report settings > Report scheduling > Add het type Security audit report. Vul ontvangers en organisatie bewust in en sla op met Save. Controleer daarna mailtransport en rapportinhoud afzonderlijk.

Sophos Firewall-rapporten plannen en per e-mail verzenden legt de grenzen van Send test mail, Generate now, privacy, taal en HA-gedrag uit. Een geslaagde testmail bewijst alleen het mailpad. Pas een gegenereerd rapport met plausibele gegevens bevestigt het volledige pad.

HA en gemengde bedrijfsmodi

Discover Mode ondersteunt alleen active-passive HA. Active-active HA is niet mogelijk zodra een van de firewalls in Discover Mode werkt.

Een active-passive-cluster kan niet worden gemaakt terwijl de TAP-interface actief is. Schakel voor het instellen van HA de TAP-poort op beide appliances uit, maak HA en activeer daarna de TAP-interface op beide apparaten afzonderlijk opnieuw. Sophos wijst er bovendien op dat de TAP-interface ook op de passieve appliance actief blijft.

Controleer daarom na een geplande rolwisseling de bekabeling, switch-mirroring en gegevensontvangst opnieuw. Ga er niet van uit dat een bestaande rapportperiode of TAP-observatie zonder onderbreking op de andere node doorgaat. Sophos Firewall HA instellen beschrijft rollen, synchronisatie en node-lokaal gedrag.

Ook in een gemengd gateway- of bridge-ontwerp blijft de grens duidelijk: normale interfaces kunnen verkeer doorsturen en beschermen. De TAP-interface ontvangt alleen de gespiegelde kopie.

Problemen per symptoom onderzoeken

De TAP-interface toont helemaal geen pakketten

1. Controleer de geconfigureerde poort met system discover-mode tap show.
2. Controleer onder Network > Interfaces het type Discover, physical (TAP) en de fysieke link.
3. Vergelijk switch-destination, bronpoorten of VLAN’s en de mirror-richting.
4. Herhaal een bekende testflow zonder een te nauw capturefilter.
5. Controleer bij een VM of de virtuele netwerkroute gespiegelde externe frames bij de firewall aflevert.

Een firewallregel is niet de oplossing, omdat TAP-verkeer niet door de normale Rule Engine wordt doorgestuurd.

Slechts één richting is zichtbaar

Op de switch is de mirror-bron vaak alleen op RX of TX ingesteld. Zet de sessie op both, dus beide richtingen, en herhaal dezelfde test. Bij asymmetrische routing kan het retourpad bovendien via een andere fysieke uplink lopen die niet wordt gespiegeld.

Pakketten zijn zichtbaar, maar rapporten blijven leeg of onvolledig

Controleer eerst tijdvenster, rapporttype, internettoegang, patternstatus en de werkelijk gespiegelde protocollen. HTTPS wordt in Discover Mode niet ondersteund. Een overbelaste SPAN-destination kan bovendien kopieën verliezen zonder het productieverkeer te beïnvloeden.

Ga bij ontbrekende gebruikers verder met de authenticatiebron. Als alleen de e-mailverzending mislukt, controleer dan eerst de e-mailmeldingen. Start rapportagediensten niet op basis van een vermoeden opnieuw en verwijder lokale rapportgegevens niet als eerste stap.

Een rapport toont risico’s, maar er wordt niets geblokkeerd

Dit is het verwachte gedrag. Discover Mode beoordeelt een kopie. Een bevinding leidt pas na inhoudelijke beoordeling tot een latere inline-policy, segmentatie of andere beveiligingsmaatregel. De TAP-firewall kan de geobserveerde originele flow niet achteraf stoppen.

Discover Mode veilig terugdraaien

Sla vóór de rollback de vereiste rapporten, tijdvensters en bevindingen op. Daarna:

1. Schakel de SPAN-sessie op de switch uit, zodat er geen nieuwe kopieën binnenkomen.
2. Verwijder de voorbeeldpoort in de Device Console:

system discover-mode tap delete PortD
system discover-mode tap show

3. Controleer onder Network > Interfaces dat de poort niet meer als Discover, physical (TAP) verschijnt.
4. Verwijder niet meer benodigde Security Audit-planningen gecontroleerd.
5. Gebruik de switch-destination-poort pas na een gedocumenteerde controle weer normaal.
6. Als de firewallpoort voortaan productief wordt gebruikt, plan en test dan zone, IP, afhankelijkheden en regels als afzonderlijke wijziging.

Meng een TAP-rollback niet met een geïmproviseerde inline-migratie. Gateway- of bridge-modus verandert routing, regels en uitvalrisico en vereist een afzonderlijk migratieplan.

Checklist

• Afzonderlijke beheertoegang werkt.
• De TAP-poort is fysiek, niet gebonden en wordt nergens anders gebruikt.
• SPAN-source, direction en destination zijn gedocumenteerd.
• De mirror-destination is niet overbelast.
• system discover-mode tap show toont de verwachte poort.
• Packet Capture ziet een bekende testflow in beide richtingen.
• Rapporten worden alleen binnen de ondersteunde zichtbaarheid beoordeeld.
• HTTPS en het ontbreken van enforcement zijn gedocumenteerd.
• Gebruikerstoewijzing is indien nodig afzonderlijk getest.
• Rapportontvangers en bewaartermijn zijn goedgekeurd.
• HA- of VM-grenzen zijn in de echte omgeving getest.
• Rollback en latere inline-migratie zijn afzonderlijke wijzigingen.

FAQ