Sophos Firewall-firmware-update: voorbereiding en best practices

Een Sophos Firewall-firmware-update mag pas worden goedgekeurd wanneer upgradepad, back-up, toegang, systeemstatus, HA en herstelpad duidelijk zijn. Een Sophos Firewall-firmware-update uitvoeren beschrijft de installatie in WebAdmin of via Sophos Fusion (voorheen Sophos Central).

⚠️ Voor elke update: Een actuele back-up, de bijbehorende Secure Storage Master Key en een concreet rollbackplan moeten beschikbaar zijn. Voer voor SFOS 22 of hoger ook de SFOS 22-upgradecheck uit.

Goedkeuring in tien punten

Een firmwarechange is gereed wanneer alle tien punten met ja kunnen worden beantwoord:

1. De huidige versie, doelversie en het ondersteunde upgradepad zijn gedocumenteerd.
2. De release notes en known issues zijn gecontroleerd voor het gebruikte platform en de configuratie.
3. De licentie en het supportrecht staan de installatie toe.
4. Een recente back-up, het back-upwachtwoord en de bijbehorende Secure Storage Master Key zijn beschikbaar.
5. Vrije opslag, systeemstatus en, bij de betreffende XGS Appliance-modellen, de SSD-firmware voldoen aan de vereisten.
6. HA-status, rollen en synchronisatie zijn in orde; beide nodes voldoen aan de vereisten.
7. Onderhoudsvenster, verantwoordelijken, uiterste afbreektijd en rollbackcriteria zijn vastgelegd.
8. Lokale of alternatieve beheerstoegang is voorbereid.
9. Tests voor WAN, VPN, DNS, NAT, WAF, authenticatie en centrale applicaties zijn gedefinieerd.
10. Monitoring, communicatie en changedocumentatie zijn voorbereid.

Ontbreekt een van deze punten, start de update dan niet onder tijdsdruk. Een onderhoudsvenster uitstellen is goedkoper dan een ongeplande reimage of interventie op locatie.

Versie, platform en rechten controleren

Een vast beheerproces controleert minstens eenmaal per maand in Sophos Fusion of onder Backup & Firmware > Firmware of er een update beschikbaar is. Nieuwe release notes en aangekondigde maintenance releases worden daarnaast actief gevolgd. Elke MR hoort in de updateplanning, omdat ook een zuivere maintenance release belangrijke beveiligingscorrecties kan bevatten. Installatie, tests en rollback blijven gecontroleerd binnen een onderhoudsvenster plaatsvinden.

Release notes en upgradepad

Vergelijk vóór de change de huidige SFOS-versie, de doelversie en het ondersteunde pad in de release notes. Controleer ook de bekende problemen voor platform, HA, VPN, routing, authenticatie en de functies die daadwerkelijk worden gebruikt.

Sophos Firewall kan een waarschuwing tonen voor een niet-ondersteund migratiepad. Als de wissel toch wordt bevestigd, kan de firewall met Factory Configuration starten en de bestaande configuratie verliezen. Automatische rollback beschermt niet bij een niet-ondersteund upgradepad. Gebruik alleen een goedgekeurd pad; voor een incompatibele versiewissel is een reimage met aansluitend herstel de juiste methode.

⚠️ Platformgrens: SFOS 21.0 GA en latere versies ondersteunen geen XG- en SG-hardware-appliances. Voor deze apparaten moet vóór de upgrade een migratie naar XGS Appliance worden gepland.

De SFOS 22-upgradecheck documenteert de bronversies voor een directe upgrade en de interpretatie van blockers voor SFOS 22.0 MR2 Build 546. Deze matrix is specifiek voor die build en geen universeel SFOS 22-upgradepad; controleer voor elke andere doelbuild vlak voor de change de ondersteunde bronversies en toepasselijke blockers in de actuele release notes.

Sluit twee harde SFOS 22-blockers expliciet uit:

• SFOS 22.0 MR1 en hoger: Achtergebleven legacy-configuratie voor Remote Access IPsec blokkeert de upgrade. Los deze op volgens de actuele migratie-instructies van Sophos; alleen uitschakelen is niet voldoende.
• SFOS 22.0 MR2 en hoger: Legacy VLAN-tagging die via de CLI op bridge-interfaces is geconfigureerd, blokkeert de upgrade. Identificeer de betrokken bridges en los deze configuratie eerst op volgens de release notes.

De aparte upgradecheck behandelt de overige SFOS 22-onderwerpen, waaronder opslag, interfacenamen, STAS, SSD-firmware en platformondersteuning. Voor andere doelversies zijn de actuele release notes bepalend.

⚠️ Vóór de eerste upgrade naar SFOS 21 of nieuwer: Zoek onder Certificates > Certificate authorities naar de gereserveerde Let’s Encrypt-CA-namen. Een bestaande vermelding met exact dezelfde naam kan de migratie door NC-146082 afbreken. Verwijder de CA niet zonder controle; stel eerst de back-up, privésleutel, afhankelijke certificaten en diensten veilig en controleer ze.

Licentie en support

Vanaf SFOS 19.0 MR1 zijn zonder Enhanced Support of Enhanced Plus Support drie gratis wissels naar GA-, MR- of EAP-versies toegestaan. Daarna kan de firmware nog wel worden gedownload, maar niet worden geïnstalleerd; Install is uitgeschakeld.

Pattern Updates, hotfixes, reimages, Mandatory Firmware Upgrades en Assistant Firmware Upgrades vallen niet onder deze supportregel. Controleer vóór het onderhoudsvenster toch dat:

• Administration > Licensing de verwachte licentie en het supportrecht toont.
• Sophos Fusion de juiste firewall en het juiste serienummer toont.
• De doelversie en download beschikbaar zijn.
• Supporttoegang, contactpersonen en escalatiepad bekend zijn.

Als externe toegang nodig is voor de change, test deze dan vooraf. Voor Avanet, zie Supporttoegang tot Sophos Firewall instellen.

Automatische hotfixes afzonderlijk controleren

Hotfixes zijn geen firmwareslot en geen Pattern Update. SFOS 22 controleert elke 30 minuten op beschikbare hotfixes en installeert ze standaard automatisch. Sophos raadt aan deze instelling niet te wijzigen. Lees de status in Device Console voor en na een firmwarewijziging:

system hotfix show

Voor SFOS 22 beschrijft Sophos dat reeds geïnstalleerde hotfixes ook na een firmware-upgrade behouden blijven. De versiegebonden lijst in SFOS 23 wordt daarentegen na elke versiewissel opnieuw beoordeeld, zoals in de volgende sectie wordt uitgelegd. Als de controle laat zien dat automatische installatie is uitgeschakeld, bepaal dan eerst wie dit heeft gedaan en waarom. Schakel de functie zonder gedocumenteerde uitzondering weer in:

system hotfix enable

system hotfix disable schakelt alleen de automatische installatie uit en is geen algemene troubleshootingstap. Een ingeschakelde status bewijst evenmin dat een specifieke hotfix al is toegepast of dat het downloadpad werkt. Controleer bij een concrete fout ook de build, tijd, internettoegang, logs en de foutreferentie van Sophos.

SFOS 23: toegepaste beveiligingsupdates aantonen

In SFOS 23 toont Backup & firmware > Hotfix: Security updates welke hotfix-beveiligingsupdates sinds de overstap naar de momenteel actieve SFOS-versie zijn toegepast. Hotfixes corrigeren het actieve systeem zonder firmware-upgrade en mogen niet worden verward met de lijst met beschikbare firmware-images. Automatische hotfix-installatie moet ingeschakeld zijn; dit is standaard het geval. system hotfix show controleert deze instelling, maar toont niet aan dat een specifieke beveiligingscorrectie is toegepast.

Voor de changedocumentatie vóór en na de firmwarewissel:

1. Documenteer de actieve SFOS-versie inclusief build en het controletijdstip en open de pagina Hotfix: Security updates.
2. Sorteer de vermeldingen op toepassingsdatum en leg de updates vast die bij het onderzochte probleem horen. De kolom Advisory verwijst bij openbaar beschreven kwetsbaarheden naar het bijbehorende beveiligingsadvies. Interne correcties kunnen zonder CVE-ID en zonder Advisory-link worden weergegeven.
3. Neem bij HA beide apparaten mee in de nacontrole: de huidige Primary ontvangt de hotfix, synchroniseert met de Auxiliary en daar wordt de hotfix eveneens toegepast. Een geslaagde controle op één apparaat vervangt niet het bewijs voor het cluster.

Een kwetsbaarheid kan meerdere keren worden weergegeven, omdat meerdere hotfixes nodig kunnen zijn om deze volledig te verhelpen. Eén overeenkomende vermelding is daarom geen algemeen bewijs van volledige bescherming. Voor een specifieke beveiligingscorrectie moeten de vereisten van het bijbehorende beveiligingsadvies worden vergeleken met de actieve build en de daadwerkelijk toegepaste updates.

Meldingen en logs: Schakel onder System services > Notification list in het gedeelte Firmware bij Security updates de optie Email in. Voor deze updates zijn geen SNMP-meldingen beschikbaar. Hotfix-beveiligingsupdates verschijnen ook in Log viewer; de bijbehorende Audit Logs worden gegenereerd en doorgestuurd naar Sophos Fusion voor Central Firewall Reporting. Deze uitspraken over meldingen en logs gelden voor hotfix-beveiligingsupdates, niet zonder meer voor elke hotfix-correctie. Alleen het ontbreken van een e-mail bewijst daarom noch succes noch mislukking.

Na een versiewissel: SFOS installeert eerst de nieuwe firmware en past vervolgens de hotfixes toe die voor deze versie beschikbaar zijn. De vorige hotfix-lijst wordt verwijderd en vervangen door de lijst van de nieuwe versie; het is geen versieoverstijgend archief. Dezelfde correctie kan opnieuw worden weergegeven, omdat deze afzonderlijk op de nieuwe versie is toegepast. Als eerdere correcties al in de nieuwe firmware zijn opgenomen, kunnen ze als afzonderlijke hotfix-vermeldingen ontbreken.

Een lege lijst betekent alleen dat voor de huidige versie nog geen hotfix-beveiligingsupdates zijn toegepast en weergegeven. Ze bewijst niet dat bescherming ontbreekt, dat het systeem volledig beveiligd is of dat automatische installatie werkt. Controleer bij onduidelijkheid de actieve versie en build, de CLI-instelling, het beveiligingsadvies, de release notes en de logs in samenhang; schakel niet uit voorzorg automatische installatie uit en besluit niet tot een rollback op basis van een lege pagina.

Back-up, recovery en documentatie voorbereiden

Back-up, SSMK en firmwareslots

Download vóór de update een recente configuratieback-up en controleer welke Secure Storage Master Key erbij hoort. Leg ook het back-upwachtwoord, de beheerderstoegang, de actieve firmwareversie en de doelversie vast in de change.

Sophos Firewall bewaart maximaal twee firmwareversies: één actieve en één inactieve. Elke partitie heeft een eigen configuratiestatus. Een rollback activeert daarom niet alleen de vorige firmware, maar ook de bijbehorende configuratie. Wijzigingen die na de upgrade zijn uitgevoerd, kunnen bij het teruggaan verloren gaan.

Automatische rollback is vanaf SFOS 20.0 beschikbaar voor bepaalde fouten bij configuratiemigratie. Het is een veiligheidsfunctie, maar vervangt geen back-up of oorzaakanalyse en is niet beschikbaar bij een niet-ondersteund upgradepad.

Het volledige proces staat in Een back-up van Sophos Firewall maken of herstellen. Als een normale versiewissel niet mogelijk is, zie Sophos Firewall OS opnieuw installeren met een USB-stick.

Rollbackcriteria vooraf vastleggen

Bepaal vóór de start hoelang een fout wordt onderzocht en wanneer het herstel begint. Een rollback is zinvol als WAN, HA, centrale VPN’s of productie-kritieke publicaties niet binnen de afgesproken tijd kunnen worden gestabiliseerd. Bij één regel, object of externe dienst is gerichte troubleshooting vaak beter.

Voor een normale Maintenance Release volstaan een back-up, screenshot van de firmwarepagina, onderhoudsvenster en testresultaat als bewijs. Bij grotere changes helpt Sophos Firewall Config Studio configuraties te vergelijken en registreert de Audit Trail wijzigingen tijdens het onderhoudsvenster.

Systeemstatus, opslag en HA controleren

Opslag en SSD

Controleer vóór een grotere upgrade in WebAdmin dat:

• Control center geen onopgeloste kritieke waarschuwingen toont.
• Backup & Firmware > Firmware de verwachte firmwareslots toont.
• Diagnostics > Log viewer geen terugkerende systeem- of migratiefouten bevat.
• Relevante services stabiel draaien.
• Firewall Health Check geen open punten bevat die de change beïnvloeden.

Open na aanmelding via SSH Device Management > Advanced Shell en controleer de vrije opslagruimte:

df -kh

Verwijder bij een bijna volle partitie niet blind bestanden, logs of reports in Advanced Shell. Bepaal eerst de oorzaak en gebruik de gedocumenteerde opschoonmethode. Zie Opslagruimte van Sophos Firewall controleren en reports beheren.

SFOS 22 kan extra opslagruimte vereisen. Bij bepaalde XGS Appliance-modellen moet bovendien eerst de SSD-firmware worden bijgewerkt; WebAdmin toont een melding als dit nodig is. In een HA-cluster wordt elke node afzonderlijk beoordeeld. Als één appliance niet aan de vereisten voldoet, kan deze de volledige upgrade blokkeren.

Controleer bij oudere appliances of problemen met I/O, database of reports ook de SSD-status met SMART. Zonder concrete bevinding zijn handmatige wijzigingen aan databases of bestandssystemen geen zinvolle voorbereiding.

Sophos noemt een herstart vóór de upgrade alleen als optionele mogelijkheid om de geheugencache te legen. Het is geen vereiste en veroorzaakt een extra onderbreking. Herstart daarom alleen binnen het onderhoudsvenster, nadat relevante logs zijn opgeslagen en het herstelpad voor beheertoegang is bevestigd. Als de firewall onverklaarde instabiliteit vertoont, moet de upgrade worden gestopt; een herstart mag oorzaakanalyse niet vervangen of het systeem slechts tijdelijk gezond laten lijken.

HA-cluster

HA hoeft voor een normale firmware-update niet te worden uitgeschakeld. Vóór goedkeuring moeten beide appliances echter verbonden en gesynchroniseerd zijn en duidelijk als Primary en Auxiliary herkenbaar zijn. Ook een HA-update vereist een onderhoudsvenster, omdat failover afzonderlijke sessies, VPN-tunnels of pings kort kan onderbreken.

Documenteer vóór de start:

• Rollen, HA-status en synchronisatie.
• Status van de HA-link.
• Firmware-, opslag- en SSD-vereisten van beide nodes.
• Alternatieve beheerstoegang.
• Verwachte failover en mogelijke korte onderbrekingen.

Werk de Auxiliary-appliance niet afzonderlijk bij. Het uitvoeringsartikel beschrijft de exacte volgorde van Auxiliary-update, failover en update van de eerdere Primary. Andere HA-situaties staan in Sophos Firewall HA-cluster: varianten en onderhoud.

Pattern Updates worden op de Primary geïnstalleerd en daarna naar de Auxiliary gesynchroniseerd. Hotfixes en hun status moeten afzonderlijk worden beoordeeld en na het onderhoudsvenster op beide apparaten worden gecontroleerd.

Onderhoudsvenster, Central en tests plannen

Onderhoudsvenster en toegang

Een onderhoudsvenster omvat meer dan alleen het installatietijdstip:

• Starttijd, uiterste afbreektijd en rollbackbesluit.
• Verantwoordelijken voor firewall, netwerk, servers, applicaties en support.
• Lokaal contact, out-of-band-toegang of een tweede beheerpad.
• Communicatiekanaal als WAN of Remote Access uitvalt.
• Onderhoudsmodus voor monitoring en alarmering.
• Testvolgorde voor de belangrijkste bedrijfsprocessen.

Vertrouw bij externe locaties niet uitsluitend op Sophos Fusion of de bestaande VPN-verbinding. Als precies dat pad tijdens de update uitvalt, moet een gedefinieerde toegang of escalatieroute beschikbaar blijven.

Firmware plannen via Sophos Fusion

Door Central beheerde firmware-upgrades worden voorbereid en bewaakt onder My Products > Firewall Management > Firewalls. De Task Queue is bedoeld voor groepsbeleid en MDR/API-configuratietaken en toont geen firmware-upgrades.

Via Central kunnen alleen doelversies worden geïnstalleerd die de fase Available to all van het releaseproces hebben bereikt. Geplande updates starten volgens de tijdzone die op de firewall is ingesteld, niet volgens de browsertijd van de beheerder. Leg voor internationale locaties tijdzone, lokaal onderhoudsvenster en doelversie vast in de change.

Tijdens de upgrade draait een statusicoon naast de firewall; na voltooiing verdwijnt het. Controleer daarna toch lokaal de actieve firmwareversie. Bij een automatische rollback toont Central een bijbehorende melding naast de firmwareversie.

Echte functietests

Alleen een ping bewijst niet dat de firewall na de update correct werkt. Definieer vooraf concrete tests met bron, bestemming en verwacht resultaat:

• Internettoegang en DNS-resolutie.
• DHCP, VLAN’s, WAN-uplinks en SD-WAN-routes.
• Site-to-Site VPN, Remote Access VPN en RED.
• Firewallregels, NAT en gepubliceerde services.
• WAF, Web Protection en TLS Inspection.
• LDAP, RADIUS, Microsoft Entra ID en andere centrale authenticatie.
• Mailflow en bedrijfskritieke applicaties.
• Syslog, SIEM en monitoring.

Na de update valideren

Controleer na de herstart eerst de actieve versie en het verwachte inactieve slot onder Backup & Firmware > Firmware. Daarna:

• Controleer Control center op nieuwe waarschuwingen of een automatische rollback.
• Verifieer interfaces, WAN, SD-WAN, HA-rollen en synchronisatie.
• Valideer VPN’s, RED, DNS, DHCP, regels, NAT, WAF en authenticatie met de voorbereide tests.
• Controleer de status van patterns en hotfixes.
• Controleer Sophos Fusion-synchronisatie, monitoring, syslog en SIEM.
• Leg resultaat, tijden, afwijkingen en eventuele vervolgacties vast in de change.

Als één functie uitvalt, gebruik dan eerst Log Viewer, Policy Test, Packet Capture en de relevante servicelogs. Zie Een firewallregel testen met Log Viewer, Policy Test en Packet Capture en Sophos Firewall-troubleshooting: services en logs.

FAQ