Sophos Firewall-patroonupdates configureren en controleren

Onder Backup & firmware > Pattern updates controleert men de lopende patroonupdates van de Sophos Firewall. Voor een normale online firewall moet Auto update ingeschakeld zijn. Kies daarna het gewenste Interval, sla de instelling op en controleer in de lijst of bij de automatisch geïnstalleerde handtekening-, engine- en clientpatronen een actuele tijdstempel en de status Success verschijnen.

Update pattern now start indien nodig een onmiddellijke download van deze patronen. APX- en RED-firmware wordt hiermee niet geïnstalleerd: vanwege de herstart van het apparaat vereisen deze updates een bewuste klik op Install en horen ze in een onderhoudsvenster.

Wat een patroonupdate bijwerkt

Patronen zijn verwisselbare gegevens- en softwarepakketten voor afzonderlijke componenten. Hiertoe behoren bijvoorbeeld antivirus-, IPS- en Application-handtekeningen, engines, clients en firmware voor beheerde APX- en RED-apparaten. Zo kunnen nieuwe detecties worden geïnstalleerd zonder telkens de volledige SFOS-firmware te vervangen.

Een patroonupdate is daarom niet hetzelfde als een SFOS-firmware-update. SFOS-firmware werkt het besturingssysteem van de firewall bij en kan nieuwe functies of fundamentele foutcorrecties bevatten. Patronen worden daarvan onafhankelijk en per component bijgewerkt. Ook Hotfixes gebruiken een eigen updatepad.

Voor de beheerder is het niet alleen belangrijk dat Auto update ingeschakeld is. Doorslaggevend is of de laatste download daadwerkelijk geslaagd is en de verwachte componenten een actuele versie weergeven. Een ingeschakelde automatische update kan anders een aanhoudende download- of licentiefout gemakkelijk verhullen.

Automatische patroonupdates configureren

1. Open Backup & firmware > Pattern updates.
2. Schakel Auto update in.
3. Kies onder Interval hoe vaak de firewall naar nieuwe patronen moet zoeken.
4. Controleer in de lijst Current version, Available version, Last successful update en Update status.
5. Als een onmiddellijke controle nodig is, klik dan op Update pattern now en wacht tot de automatisch geïnstalleerde patronen de nieuwe status weergeven.

Het interval bepaalt alleen hoe vaak de firewall naar een beschikbaar pakket zoekt; het zorgt er niet voor dat Sophos nieuwe patronen eerder beschikbaar stelt. Zonder bijzondere operationele vereisten kan de aangeboden standaardinstelling behouden blijven. Een korter interval betekent daarom niet automatisch snellere bescherming.

Sophos stelt de automatische update standaard beschikbaar. Toch blijft een korte controle van het overzicht zinvol: een plotseling oude tijdstempel kan wijzen op een download-, licentie- of componentfout, ook als de firewall het internetverkeer verder verwerkt.

De statussen betekenen:

• Ready to install: Het pakket is beschikbaar gesteld en wacht op handmatige installatie. Bij APX- en RED-firmware is dit de normale veilige status vóór het onderhoudsvenster.
• Downloading: De firewall downloadt het patroon op dit moment. Herstart tijdens deze fase niet parallel en start geen tweede updatepad.
• Success: De laatste update is succesvol voltooid.
• Failed: De download of installatie is mislukt. Tijdstempel, betrokken component en bijbehorende logs moeten worden gecontroleerd.

Een enkele Success bij één component bevestigt niet automatisch alle andere regels. Daarom worden bij de controle de beveiligingsrelevante patronen en de APX- en RED-firmware afzonderlijk bekeken.

APX- en RED-firmware bewust installeren

Firmware voor APX en RED-apparaten die door de firewall worden beheerd, verschijnt eveneens als patroon. De firewall downloadt deze firmware, maar installeert ze niet automatisch. Dat is bewust zo: de APX of de RED start na de installatie opnieuw op, actieve verbindingen worden onderbroken en worden pas na de update weer opgebouwd.

Controleer daarom vóór Install de betrokken APX- en RED-apparaten, hun locatie en een geschikt onderhoudsvenster. Bij een externe RED-locatie moet bovendien duidelijk zijn hoe lang een korte verbindingsonderbreking aanvaardbaar is en wie ter plaatse bereikbaar is als het apparaat niet terugkomt.

Bij Wireless geldt deze procedure alleen voor APX-modellen die daadwerkelijk door de firewall worden beheerd. AP6 Access Points worden niet via SFOS of de bijbehorende patroonupdates beheerd; hun firmware wordt buiten de firewall via Sophos Central of de lokale AP6-interface onderhouden. De modelafbakening en huidige aanbeveling staan onder Een Wireless-netwerk op de Sophos Firewall instellen. Voor RED-apparaten toont Sophos RED instellen de volledige locatieconfiguratie.

Waarom IPS-handtekeningen kunnen ontbreken

Application-handtekeningen bij patroonupdates zijn niet afhankelijk van een Network Protection-licentie of ingeschakelde IPS. Bij een online firewall worden IPS-handtekeningen daarentegen alleen bijgewerkt als aan beide voorwaarden is voldaan:

• Er is een actieve Network Protection Subscription of Trial-licentie.
• IPS is ingeschakeld onder Protect > Intrusion prevention > IPS policies.

Als een van deze voorwaarden ontbreekt, kan de patroonupdate succesvol lijken terwijl alleen Application-handtekeningen worden bijgewerkt. Dat is geen tegenspraak, maar het gedocumenteerde licentie- en operationele gedrag. Controleer daarom samen de licentiestatus, ingeschakelde IPS en toegewezen regels. De volledige configuratie wordt uitgelegd onder IPS Protection op Sophos Firewall configureren.

Gelicentieerde Air-Gap-firewalls vormen een uitzondering: daar worden IPS- en Application-handtekeningen via het voorziene offlineproces ook bijgewerkt wanneer IPS uitgeschakeld is. Deze bijzondere bedrijfsmodus wordt afzonderlijk beschreven onder Air-Gap-licentieverlening en patroonupdates.

Mislukte patroonupdates afbakenen

Bij Failed wordt niet onmiddellijk een service opnieuw gestart. Documenteer eerst de betrokken component, de huidige en beschikbare versie, het tijdstip van de laatste succesvolle update en de firmwarebuild. Daarna verloopt de diagnose van het algemene updateproces naar de betrokken beveiligingsmodule.

1. Controleer of de firewall in het algemeen internettoegang heeft en Sophos-services kan bereiken.
2. Controleer of datum, tijd en NTP-synchronisatie en de DNS-resolutie plausibel zijn.
3. Start Update pattern now precies één keer en volg de status tot het resultaat.
4. Sla de bijbehorende logs op voordat een herstart of verdere herstelpoging oude aanwijzingen verdringt.
5. Beslis pas aan de hand van de concrete fout of de licentie, verbinding, het patroonbestand, de firmwareversie of een afzonderlijke service betrokken is.

Bij oudere SFOS 22-builds is een versievergelijking bijzonder nuttig: met SFOS 22.0 MR2 Build 546 heeft Sophos een fout opgelost waarbij SAVI- en AVIRA-patroonupdates mislukten en de antivirusservice stopte (NC-180066). Ook werd een geval opgelost waarbij de eBPF-service na een patroonupdate niet meer reageerde (NC-177769). Past dit foutbeeld, dan is een geplande firmware-update de verstandigere volgende stap dan herhaalde serviceherstarts. De twee ID’s verklaren echter niet algemeen elke patroonfout.

De logs kunnen worden gedownload onder Diagnostics > Tools > Troubleshooting logs. Voor een korte livecontrole opent men na de SSH-aanmelding bij de Sophos Firewall 5. Device Management > 3. Advanced Shell. Deze alleen-lezen voorbeelden tonen telkens de laatste 100 regels:

Algemeen systeemupdateproces:

tail -n 100 /log/u2d.log

Antiviruspatronen:

tail -n 100 /log/up2date_av.log

IPS- en Application-handtekeningen:

tail -n 100 /log/sig_upgrade.log

SFOS garandeert geen enkele succesmelding die er in elke build hetzelfde uitziet. Vergelijk daarom tijdstempels en foutmeldingen met de betrokken regel in het patroonoverzicht. Als alleen een bijgewerkt apparaat niet opnieuw verbinding maakt, past awed.log bij een beheerde APX en red.log bij een RED. De toewijzing van andere bestanden en de veilige omgang met logs staan onder Sophos Firewall-services en logs.

Als een beveiligingsservice na een mislukte update gestopt blijft, legt Sophos Firewall-services veilig opnieuw starten de volgende gecontroleerde stap uit. Herhaald klikken op Restart zonder opgeslagen logs bemoeilijkt de oorzaakanalyse.

Patroonbestand onder SFOS 22 handmatig installeren

De handmatige upload is zinvol als een geïsoleerde omgeving geen geautomatiseerd Air-Gap-proces heeft of Sophos Support uitdrukkelijk om een handmatige updatetest vraagt. Voor een normaal bereikbare online firewall blijft de automatische update de aanbevolen permanente bedrijfsmodus.

Voor SFOS 22.0 en nieuwer stelt Sophos één gezamenlijk .tar-bestand beschikbaar voor de patronen van alle modules:

Patroonbestand voor SFOS 22 downloaden

Daarna:

1. Open Backup & firmware > Pattern updates > Manual pattern update.
2. Klik op Choose File en selecteer het ongewijzigde .tar-bestand.
3. Upload met Upload en bevestig met OK.
4. Controleer in de patroonlijst welke componenten succesvol zijn bijgewerkt.

Het bestand geldt niet algemeen voor oudere SFOS-versies. Vóór een handmatige upload moeten de firewallversie en het bedoelde bestand daarom bij elkaar passen. In een HA-cluster wordt de update op de huidige Primary uitgevoerd; de patronen worden automatisch naar de Auxiliary gesynchroniseerd. Beide nodes moeten daarna een gezonde HA-status weergeven.

FAQ