Sophos Firewall-rapporten plannen en per e-mail versturen

Sophos Firewall kan lokale rapporten dagelijks of wekelijks als PDF versturen. Om te zorgen dat de ontvanger niet zomaar een bestand, maar een bruikbare analyse ontvangt, wordt het rapport eerst handmatig gecontroleerd en pas daarna gepland.

De betrouwbare werkwijze is kort:

1. Het gewenste rapport handmatig genereren met de juiste periode en filters.
2. De selectie indien nodig als bookmark opslaan.
3. Onder Reports > Show report settings > Report scheduling een planning aanmaken.
4. Met Send test mail het mailpad controleren.
5. Met Generate now het rapport direct genereren en versturen.
6. De ontvangen PDF controleren op inhoud, periode, taal en gevoelige gegevens.

Send test mail en Generate now controleren niet hetzelfde. De testmail bevestigt het mailtransport. Pas Generate now controleert bovendien of de firewall het gekozen rapport kan genereren en als PDF kan versturen.

⚠️ De modellen XGS 87/87w en XGS 88/88w ondersteunen geen On-appliance Reporting. Voor deze modellen of voor een centrale analyse van meerdere firewalls is Sophos Central Firewall Reporting in Sophos Fusion geschikter.

Voorwaarden controleren

Voor het aanmaken van de planning worden zes basispunten gecontroleerd:

• Lokale rapporten werken: Onder Reports bevat de gewenste periode al plausibele gegevens. Een planning kan ontbrekende logging of een lege rapportdatabase niet herstellen.
• E-mailverzending werkt: De ingebouwde of externe mailserver en de benodigde instellingen voor authenticatie, verbindingsbeveiliging, afzender en ontvanger zijn ingesteld onder Administration > Notification settings. De volledige werkwijze staat in E-mailmeldingen van Sophos Firewall instellen en testen.
• Tijd en tijdzone kloppen: Een verkeerde systeemtijd bemoeilijkt de selectie en controle van de periode. De configuratie wordt uitgelegd in Datum, tijd en NTP configureren.
• Lokale opslag is beschikbaar: On-box-rapportgegevens staan onder /var. Zodra de stopdrempel is bereikt, stopt de firewall met rapporteren. Status, waarschuwingsdrempels en bewaartermijnen worden uitgelegd in Sophos Firewall-opslagruimte controleren en rapporten beheren.
• De lokale bewaartermijn past bij het doel: Onder Reports > Show report settings > Data management kunnen rapporten maximaal één jaar worden bewaard. De gekozen periode telt terug vanaf de vorige maand en een wijziging gaat om 00:00 in. Deze instelling geldt alleen voor rapporten, niet voor logs of PDF-bestanden die al in een mailbox zijn afgeleverd. De firewall verwijdert oudere rapporten automatisch. Controleer daarom vóór een wijziging van de bewaartermijn de compliance- en bewaareisen van de organisatie.
• Ontvanger en doel zijn vastgelegd: Een functionele mailbox zoals firewall-reports@example.net is meestal beter dan een persoonlijk adres. Er is een Owner nodig die de rapporten werkelijk controleert.

Een PDF kan gebruikers, IP-adressen, MAC-adressen, e-mailadressen, URL’s en beveiligingsgebeurtenissen bevatten. Houd daarom de groep ontvangers klein, versleutel het mailtransport en houd rekening met de bewaartermijn in de mailbox. Als Data Anonymization voor logs en rapporten wordt gebruikt, moet in de daadwerkelijk ontvangen PDF worden gecontroleerd of de verwachte gegevens geanonimiseerd zijn.

Als rapportage door ruimtegebrek is gestopt, volstaat het niet om het gebruik van /var net onder 80 procent te brengen. Het moet onder de waarschuwingsdrempel dalen, standaard 70 procent, voordat de firewall weer rapporten genereert. De waarschuwingsdrempel is instelbaar van 50 tot 75 procent; de stopdrempel van 80 procent staat vast. Control Center toont waarschuwingen en alarmen; Log Viewer registreert ook wanneer het gebruik onder de waarschuwingsdrempel daalt. E-mail- en SNMP-meldingen bij de hogere drempel staan standaard uit: activeer onder System services > Notification list > Disk/Memory de optie Reports disk usage exceeded threshold voor de benodigde bestemmingen en sla op met Save. Controleer daarna de status en nieuwe rapportgegevens; een ontvangen oude PDF bewijst niet dat de rapportage is hervat. Veilige diagnose en opschoning blijven in het gekoppelde opslagartikel beschreven.

Top Users in PDF-rapporten globaal beheren

De weinigzeggende Device Console-opdracht system custom-feature bepaalt of gegenereerde PDF-rapporten ook Top Users bevatten. De schakelaar is systeembreed en heeft geen parameter voor rapport of ontvanger. Omdat de actuele SFOS 22-help geen standaardwaarde noemt, wordt eerst de bestaande status gelezen:

system custom-feature show

Leg vóór elke wijziging de weergegeven instelling vast als goedgekeurde uitgangsstatus; die bepaalt de rollback.

Met enable worden Top Users toegevoegd en met disable weer uit gegenereerde PDF’s verwijderd:

system custom-feature enable
system custom-feature disable

Controleer vóór enable de ontvangers, bewaartermijn en Data Anonymization. Maak daarna met Generate now een echt PDF-bestand en controleer of de verwachte gebruikers verschijnen en gevoelige identiteiten zoals bedoeld worden beschermd. De schakelaar maakt geen ontbrekende gebruikerstoewijzing aan en herstelt geen authenticatie- of loggingprobleem. Herstel bij rollback precies de vastgelegde uitgangsstatus: system custom-feature enable als de functie oorspronkelijk ingeschakeld was, of system custom-feature disable als deze uitgeschakeld was. Was de functie al ingeschakeld, dan verandert opnieuw enable uitvoeren niets; schakel haar niet uit als vermeende rollback. Bevestig daarna de uitgangsstatus met system custom-feature show en controleer met Generate now een nieuwe PDF: Top Users hoort aanwezig of afwezig te zijn volgens de opgeslagen instelling. Rollback belooft geen aanvulling van ontbrekende gegevens of herstel van verloren rapporthistorie.

Rapportinhoud voorbereiden

In dit voorbeeld moet een wekelijks IPS-rapport laten zien welke aanvallen het vaakst zijn gedetecteerd. De namen en waarden worden aangepast aan de eigen omgeving.

1. Reports > Network & threats > Intrusion attacks openen.
2. De gewenste datumperiode kiezen.
3. Met Filter de analyse indien nodig beperken tot relevante systemen, regels of gebeurtenissen.
4. Generate selecteren.
5. Controleren of periode, treffers en sortering passen bij de vraag die het rapport moet beantwoorden.

Het inhoudelijke doel moet in één zin uit te leggen zijn, bijvoorbeeld: „Het securityteam controleert elke maandag de meest voorkomende IPS-treffers van de vorige week.” Die omschrijving helpt om te bepalen welk rapport, filter en welke ontvanger werkelijk nodig zijn.

Voor gegenereerde rapporten kan optioneel een eigen logo worden geselecteerd (Custom logo), dat op de rapporten wordt weergegeven.

De juiste rapportgroep kiezen

Kies onder Reports met Show de rapportgroep of analyse en daarna het datumbereik. Generate vernieuwt de gegevens, Filter beperkt ze en Schedule opent de planning rechtstreeks vanuit de rapportweergave. Laat de operationele vraag de keuze bepalen, niet alleen de rapportnaam:

• Dashboards: Traffic dashboard toont verkeer per toepassing, webcategorie en gebruiker. Security dashboard toont geweigerde activiteit, malware, spam en de belangrijkste bron- en bestemmingslanden. Executive report bundelt veelgebruikte verkeers- en dreigingsinformatie. User threat quotient rangschikt gebruikers op dreigingsscore.
• Network & threats: Intrusion attacks toont aanvalspogingen. Active threat response toont dreigingsgebeurtenissen en gecompromitteerde hosts op basis van MDR- en Sophos X-Ops-feeds. Wireless betreft accesspointgebruik en ingestelde SSID’s, Security Heartbeat de gemelde endpointgezondheid en Zero-day protection de activiteit van uitgebreide bescherming tegen geavanceerde en gerichte aanvallen.
• Email: Email usage beantwoordt vragen over mailverkeer; Email protection betreft verkeer met virussen of spam. Mailbezorging en beveiligingsgebeurtenissen zijn verschillende controlevragen.
• VPN: VPN betreft remote-accessverkeer, SSL VPN verkeer van SSL VPN-clients en Clientless access toegang via een browser. De beschrijving van VPN noemt ook IPsec, L2TP en PPTP. Deze historische indeling garandeert niet dat elke genoemde methode in de geïnstalleerde build beschikbaar of veilig te configureren is; verouderde toegangsmethoden worden niet voor een rapport geactiveerd.
• Compliance: De aangeboden weergaven heten HIPAA, GLBA, SOX, FISMA, PCI, NERC CIP v3 en CIPA; Events toont netwerkgebeurtenissen en hun ernst. Deze rapporten ondersteunen de analyse, maar bewijzen op zichzelf geen volledige naleving of actuele toepasselijkheid van een voorschrift voor de organisatie.
• Applications & web: User app risks & usage, Cloud application usage en Web risks & usage ondersteunen gebruiks- en risicoanalyse. Cloudgebruik kan worden bekeken naar classificatie, categorie, gebruik, inhoud, bronzones en bestemmingslanden. Blocked user apps en Blocked web attempts tonen geblokkeerde pogingen; Web policy overrides toont toegestane policy-uitzonderingen. Synchronized applications betreft endpointtoepassingen die via Security Heartbeat zijn gedetecteerd, Search engine zoekpatronen en Web content treffers van inhoudsfilters. Web server usage, Web server protection, User data transfer, FTP usage en FTP protection omvatten serververkeer, aanvallen op webservers en hun bronnen, gebruikersverkeer en normale of schadelijke FTP-activiteit.

De Application risk meter geeft een gemiddelde score op basis van het risiconiveau en de hits van afzonderlijke toepassingen. Rood wijst op meer risicovol toepassingsverkeer, groen op meer verkeer met laag risico. Het gemiddelde is een indicatie, geen bewijs van een specifieke compromittering; bekijk de afzonderlijke toepassingen, risiconiveaus en hits voor de beoordeling. Bij Web content geldt een belangrijke privacygrens: pagina’s in de categorie highly objectionable criminal activity worden altijd geblokkeerd en hun domeinnaam wordt in logs en rapporten verborgen. Een ontbrekende domeinnaam is daar dus niet automatisch een exportfout en wordt niet onderzocht door bescherming uit te schakelen.

Bekijk bij Web policy overrides de gebruikers die policies mogen overrulen en de betrokken geblokkeerde websites en webcategorieën. De beschrijving van Web server usage omvat toepassings-, web-, internet- en FTP-verkeer; deze selectie is dus niet beperkt tot aanvallen op webservers. Die horen bij Web server protection.

Custom report, Custom view en bookmark onderscheiden

Een Custom report onder Reports > Custom beperkt één gegevensgebied met gedetailleerde criteria. Er zijn rapporten voor web, e-mail, FTP, gebruikers en webservers. De grens bij webrapporten is belangrijk: de aangepaste zoekopdracht toont alleen toegestane domeinen, URL’s, categorieën en IP-adressen. Controleer geblokkeerde webtoegang in plaats daarvan onder Reports > Applications & web > Blocked web attempts.

Een Custom view combineert meerdere rapportgroepen in één weergave, bijvoorbeeld Zero-day protection-activiteit en webgebruikers. Maak deze onder Reports > Show report settings > Custom view > Add met een naam en de benodigde rapportgroepen; daarna verschijnt de weergave onder Reports > Custom. Genereer en controleer de nieuwe weergave handmatig voordat deze wordt gepland of gedeeld.

Voor de keuze van criteria: een webrapport zoekt surfactiviteit of virussen, bijvoorbeeld per gebruiker en domein; een mailrapport zoekt mailgebruik, spam en virussen per protocol of gebruiker. Een FTP-rapport kan zoeken op overdrachtstype, gebruiker, bestand of bron-IP. Een gebruikersrapport koppelt risicovolle toepassingen, onproductieve webdomeinen en gedetecteerde virussen aan een gebruikersnaam of bronhost. Een webserverrapport onderzoekt tijd, gebruiker, URI en beveiligingsactiviteit. Kies de criteria passend bij de vraag; zonder bijbehorende logging garanderen ze geen beschikbare gegevens.

Sla een nieuwe Custom view met Save op voordat deze handmatig wordt gegenereerd.

Een bookmark bewaart daarentegen een reeds gefilterde, terugkerende selectie. Een planning kan een standaard- of aangepaste rapportgroep of een bookmark selecteren. Voor de beheerder is niet het technisch grootste rapport de beste keuze, maar de kleinste selectie die de concrete operationele vraag beantwoordt.

Terugkerende selectie als bookmark opslaan

Een bookmark is nuttig wanneer niet alleen een volledige rapportgroep, maar een herbruikbare selectie met filter moet worden gepland.

1. Het voorbereide rapport openen.
2. Bookmark selecteren.
3. Een duidelijke naam zoals Weekly-IPS-Review invoeren.
4. Een passende bookmarkgroep selecteren en opslaan met Save.

Als er geen geschikte groep is, wordt deze aangemaakt onder Reports > Show report settings > Bookmark management > Add bookmark group. Een naam zoals Weekly-IPS-Review beschrijft doel en ritme beter dan Report1.

Open na het opslaan de bookmark opnieuw en genereer het rapport nogmaals. Zo wordt gecontroleerd of werkelijk de bedoelde selectie wordt hergebruikt. De exacte periode in de latere PDF mag niet alleen uit de naam worden afgeleid, maar moet in de gegenereerde PDF worden gecontroleerd.

Als er nog geen eigen bookmarkgroep bestaat, kan de bookmark aan de standaardgroep worden toegewezen. Voer voor een nieuwe groep een naam in en sla op met Save; de groep ordent gerelateerde bookmarks, bijvoorbeeld voor toepassingen en dreigingen. Kies om er één te heropenen onder Show eerst de groep en daarna de bookmark. Een groep verschijnt hier pas wanneer deze minstens één bookmark bevat. Ontbreekt de groep, controleer dan eerst de inhoud in plaats van de planning herhaaldelijk aan te maken.

Een vergelijkingsexport downloaden

Voor een vergelijking onafhankelijk van het mailpad worden rapporten in WebAdmin gedownload, niet via de CLI:

1. Open Reports > Applications & web.
2. Kies onder Show de rapportcriteria en daarna het datumbereik.
3. Genereer en controleer de gegevens met Generate.
4. Kies een van de beschikbare bestandsformaten en open het gedownloade bestand.

Onder Reports > Show report settings > Data management heet het retentieveld Log retention report period, hoewel het alleen rapporten betreft. Export customization bepaalt daarentegen welke rapporten en hoeveel records per rapport worden geëxporteerd. Kies vóór het downloaden de omvang die bij de controle past en verifieer deze in het bestand. Exportaanpassing verandert de bewaartermijn niet en is geen gedocumenteerde manier om de limiet van 50 records bij geplande e-mailrapporten op te heffen. Volledig opslag- en exportbeheer staat in het al gekoppelde opslagartikel.

Planning aanmaken

1. Reports > Show report settings > Report scheduling openen.
2. Add selecteren.
3. Als type Report kiezen.
4. Onder To email address de ontvangers invoeren. Meerdere adressen worden door komma’s gescheiden.
5. Onder Report type een rapportgroep of de voorbereide bookmark selecteren.
6. Indien beschikbaar de sortering op Hits of Bytes afstemmen op het doel.
7. Onder Email frequency Daily of Weekly kiezen.
8. Opslaan met Save.

Het sorteerveld heet Sorting criteria; Hits geeft prioriteit aan veelvoorkomende treffers en Bytes aan het datavolume. De optie geldt alleen voor rapporten die deze sortering bieden.

Voor het voorbeeld worden deze waarden gebruikt:

• Ontvanger: firewall-reports@example.net
• Report type: Bookmark Weekly-IPS-Review
• Sortering: Hits
• Frequentie: Weekly

Deze waarden zijn geen algemene standaard. Voor een bandbreedterapport kan sorteren op Bytes zinvoller zijn, een dagelijks operationeel rapport heeft Daily nodig en een andere locatie kan een eigen ontvanger of bookmark vereisen.

Geplande On-box Reports worden als PDF verstuurd en bevatten maximaal 50 records. Deze grens geldt voor het e-mailrapport en mag niet worden beschouwd als een volledig archief of export van alle lokale gegevens. Voor meerdere firewalls, geconsolideerde HA-gegevens of langere centrale analyses is Sophos Central Firewall Reporting in Sophos Fusion de geschiktere laag.

Sinds SFOS 21.5 MR1 gebruikt een gepland PDF-rapport de WebAdmin-taal van de beheerder die de planning heeft aangemaakt. Als de ontvanger het rapport in het Duits moet krijgen, wordt de planning daarom vanuit een Duitstalige WebAdmin-sessie aangemaakt en wordt het resultaat met Generate now gecontroleerd.

Naast normale rapporten biedt de planning ook Security audit report en, bij een ingestelde integratie, ConnectWise. Het Security Audit Report is met name bedoeld voor een passieve Discover Mode-analyse met TAP en SPAN. Deze typen dienen andere doelen en mogen niet alleen worden gekozen omdat een normaal rapport leeg blijft.

Security audit- en ConnectWise-planningen doelgericht configureren

Een Security audit report is een vooraf gedefinieerd rapport over beveiligingsgerelateerde activiteit. De planning bevat de volgende velden: Organization name voor de naam die in het rapport wordt weergegeven, To email address voor door komma’s gescheiden ontvangers, Report type voor de gegevens van de rapportgroep of bladwijzer en Email frequency voor verzending Daily of Weekly.

Een ConnectWise schedule is pas beschikbaar nadat ConnectWise met Sophos Firewall is geïntegreerd. ConnectWise moet onder Reports > Show report settings > ConnectWise zijn ingeschakeld, met de server-URL en gebruikersgegevens van de eigen integratie. Maak in voorbeeld-PDF’s of supportbewijs geen inloggegevens openbaar. Configureer de exacte planningsvelden als volgt:

• Report: Selecteer een van de vooraf geconfigureerde ConnectWise-rapporten: Top sites, Filtered sites, Bandwidth usage of Top attacks.
• Number of records: Stel in hoeveel records in het rapport worden aangemaakt. Kies het aantal voor het doel van de controle en neem niet aan dat de algemene limiet van 50 records voor e-mailrapporten de gewenste ConnectWise-waarde is.
• Frequency: Plan het rapport dagelijks met het opgegeven interval.

Gebruik na het opslaan van een gespecialiseerde planning Generate now en controleer het afgeleverde rapport. Een actieve integratie of een planning die in de lijst staat, bewijst op zichzelf niet dat het vooraf gedefinieerde rapport de verwachte records bevat.

Verzending en PDF controleren

Na het opslaan wordt niet gewacht tot het eerste reguliere tijdstip.

1. Mailtransport controleren met Send test mail

Selecteer de planning in de lijst, voer Send test mail uit, vul een testadres in en selecteer Send. Dit adres wordt apart voor de test ingevoerd en hoeft niet overeen te komen met To email address van de planning. Gebruik voor een betekenisvolle eerste test dezelfde functionele mailbox. Controleer vervolgens in die mailbox, het spamfilter of de mailservertracking of het bericht is geaccepteerd en afgeleverd.

Een geslaagde testmail bevestigt de verbinding met de ingestelde mailserver en de basisbezorging. Ze bevestigt nog niet dat het gekozen rapport gegevens bevat of als correcte PDF wordt gegenereerd.

2. Het volledige pad controleren met Generate now

Voer daarna Generate now uit. De firewall genereert het geplande rapport onmiddellijk en verstuurt het naar de ingevoerde ontvangers.

Controleer in de ontvangen PDF:

• de juiste firewall of locatie;
• de bedoelde rapportgroep of bookmarkselectie;
• een plausibele periode en tijdstempel;
• een zinvolle sortering en hoeveelheid gegevens;
• de verwachte taal;
• een leesbare weergave van tabellen en diagrammen;
• als een eigen logo is geselecteerd: controleer vóór het delen visueel in het nieuw gegenereerde rapport of het verwachte logo wordt weergegeven;
• geen onnodige blootstelling van gebruikers-, netwerk- of beveiligingsgegevens.

⚠️ Bij een upgrade van SFOS 20.0 of eerder naar SFOS 21.0 of later worden rapporten van vóór en na de upgrade in afzonderlijke databases opgeslagen. Als alleen de migratiedag wordt geselecteerd, moeten Data before migration en Data after migration afzonderlijk worden gekozen om de hele dag te analyseren. Een datumbereik dat de migratiedag omvat, moet daarentegen worden opgesplitst in bereiken vóór en na die dag. Bij een rollback naar de eerdere versie gaan alle sinds de upgrade gegenereerde rapporten verloren, ook na een nieuwe upgrade. Houd bij de controle van geplande PDF’s rekening met deze databasegrens: geslaagde e-mailbezorging alleen bewijst geen ononderbroken dekking over de migratie heen.

Controleer de datumtoewijzing na een onderbreking: Bij het afsluiten kunnen gegevens onverwerkt blijven. Na het opnieuw opstarten kunnen gebeurtenissen in die gegevens worden toegewezen aan de dag vóór de herstart in plaats van hun werkelijke gebeurtenisdag, zelfs aan een dag waarop de firewall uit stond. Dit betreft achtergebleven onverwerkte gegevens, niet zonder meer alle gebeurtenissen. Genereer daarom na een onderbreking met Generate now een nieuwe PDF en controleer de periode en gebeurtenisdatums extra zorgvuldig.

Voor consistente rapportgegevens wordt aanbevolen de firewall continu te laten draaien; opnieuw opstarten is geen oplossing voor afwijkende gebeurtenisdatums.

Pas daarna wordt de volgende reguliere uitvoering gevolgd. De actuele documentatie beschrijft de exacte koppeling tussen uitvoeringstijd, tijdzone en rapportperiode niet gedetailleerd genoeg om deze algemeen aan te nemen. Het gegenereerde rapport is daarom het bewijs dat de functie werkt.

Gebruik in een HA-cluster

Lokale rapportgegevens worden niet tussen de HA-nodes gesynchroniseerd. Elke node bevat alleen rapporten voor het verkeer dat die node verwerkt. De helptekst voor Report scheduling van 19 december 2025 beschrijft verzending door beide appliances zodra het rapport van een appliance in een tabel minstens één gegevensrij bevat; zonder gegevensrij beschrijft de helptekst geen verzending. Het HA-overzicht van 13 augustus 2025 beschrijft daarentegen gegevensafhankelijke verzending door de Auxiliary Appliance en noemt Security Dashboard en Security Audit als voorbeelden waarbij geen verzending plaatsvindt. Deze beschrijvingen komen niet volledig overeen; de helptekst voor rapportplanning is de nieuwere en voor dit proces specifiekere documentatie, maar biedt geen garantie voor elk rapport-/buildscenario. Daarom kunnen er twee e-mails binnenkomen. Controleer met Generate now het gedrag van het gekozen rapport op de gebruikte build en vergelijk afzender, appliance, periode en inhoud voordat een vermeend dubbele planning wordt verwijderd. Uit alleen het ontbreken van een tweede e-mail kan noch een fout noch een defect in de HA-functie worden afgeleid.

Ook een verder inactieve appliance kan een Executive report met systeemgebruik en rapportgegevens genereren. “Geen gebruikersverkeer” betekent dus niet “geen gegevensrij” en voorkomt verzending vanuit beide appliances niet noodzakelijk.

Deze bezorging is niet automatisch een fout. Vergelijk eerst afzender, appliance-identiteit, periode en inhoud van beide PDF’s. Voor een geconsolideerd overzicht van beide nodes is Central Reporting geschikter dan twee lokale e-mailrapporten.

Na een HA-failover, vervanging van een appliance of firmware-update wordt Generate now opnieuw gecontroleerd. Zo valt op wanneer een planning nog zichtbaar is, maar gegevens, taal of mailbezorging niet meer aan de verwachting voldoen.

Fouten systematisch afbakenen

Send test mail mislukt

Dan ligt het probleem in het mailpad en nog niet in de rapportinhoud. Onder Administration > Notification settings worden DNS, route, poort, authenticatie, OAuth, TLS, certificaat, afzender en ontvanger gecontroleerd. Mailservertracking of quarantaine laat zien of het bericht is geaccepteerd of geweigerd.

Maak de planning niet herhaaldelijk opnieuw aan. Eerst moet een testmail betrouwbaar aankomen. De foutbeelden en veilige controles staan in het artikel over e-mailmeldingen.

Testmail komt aan, maar Generate now levert geen rapport

De SMTP-route is nu in principe bevestigd. Controleer vervolgens:

1. Is in de planning de juiste rapportgroep of bookmark geselecteerd?
2. Bevat hetzelfde rapport gegevens wanneer het handmatig wordt uitgevoerd?
3. Is On-box Reporting actief en wordt het door het appliance-model ondersteund?
4. Ligt /var onder de stopdrempel voor rapporten en, na een stop door ruimtegebrek, weer onder de waarschuwingsdrempel?
5. Zijn logging en de benodigde beveiligingsfuncties actief voor de verwachte gegevens?
6. Verschijnt het bericht in mailservertracking, spam of quarantaine?

In de Device Console tonen twee alleen-lezen opdrachten de actuele On-box-status en de drempels voor rapportopslag:

show on-box-reports
show report-disk-usage watermark

De opdrachten wijzigen niets. Meer opslagdiagnose en de betekenis van de uitvoer staan in Opslagruimte en rapporten beheren.

PDF is leeg, onvolledig of verkeerd weergegeven

Genereer eerst hetzelfde rapport handmatig met dezelfde periode en hetzelfde filter. Als de analyse in WebAdmin al leeg is, ontbreken rapportgegevens, logging of passende gebeurtenissen. Als alleen de PDF onjuiste of onvolledige gegevens bevat, documenteer dan SFOS-versie, build, browser, planning, het tijdstip van Generate now en een voorbeeld-PDF.

SFOS 22.0 MR2 Build 546 verhelpt onder andere bekende fouten met een lege dagelijkse Traffic dashboard-PDF zonder On-box Reporting en verkeerd weergegeven tabellen of diagrammen in On-demand-PDF’s die in Chrome zijn gegenereerd. Een vergelijkbaar symptoom op een andere build is niet automatisch dezelfde fout. Controleer daarom vóór wijzigingen de exacte build en vergelijk deze met een handmatig gegenereerd rapport.

Voor een diepere analyse worden het testtijdstip en de bestanden cschelper.log, reportdb.log, garner.log en indien nodig postgres.log gecorreleerd. De toegang wordt beschreven in Sophos Firewall Troubleshooting: Services en Logs. Eén logregel is onvoldoende reden om rapportagediensten opnieuw te starten of rapportgegevens te verwijderen.

Executive report met 1 month kan niet als PDF worden gedownload

Voor SFOS 22.0 MR1 Build 490 documenteerde Sophos onder NC-182976 een nauw afgebakend foutbeeld: onder Reports > Dashboards > Executive report kon de PDF-download mislukken wanneer de periode 1 month was geselecteerd. Controleer daarom eerst de exacte firmware-build, het rapporttype, de periode en het uitvoerformaat. Andere PDF-rapporten of geplande e-mailrapporten zijn daardoor niet automatisch getroffen.

In de toenmalige beschrijvingstekst noemde Sophos een CSV-download met een periode van één dag; in de aparte KIL-kolom Workaround stond echter None. Daarom is deze export slechts een beperkte alternatieve controle. Hij vervangt geen volledig maandrapport en bevestigt noch het maandrapport noch het pad voor PDF-generatie. Als ook andere rapporten, perioden of formaten mislukken, is het foutbeeld ruimer dan NC-182976; documenteer dan het tijdstip en de browser en stel de hierboven genoemde logs veilig, in plaats van rapportagediensten opnieuw te starten of rapportgegevens te verwijderen.

De eerder gedocumenteerde vermelding voor NC-182976 noemde SFOS 23.0 EAP0 Build 275 in het veld Fix versions en beschreef de oplossingen voor SFOS 23 en SFOS 22.0 MR3 als aanstaand. Deze historische velden tonen noch de actuele releasestatus noch de actuele status van de fout aan. Controleer vóór een upgrade de actuele Known Issues List en de Release Notes van de vrijgegeven doelversie, evenals de ondersteuning van die versie voor het eigen model. Als de vermelding ontbreekt in de actuele Known Issues List, is dat geen bewijs dat de fout is verholpen. Als hetzelfde symptoom optreedt in MR2 of een andere build, wordt het niet automatisch aan NC-182976 toegeschreven, maar met de veiliggestelde gegevens onderzocht.

E-mail bevat slechts 50 records

Dit is de gedocumenteerde bovengrens voor geplande e-mailrapporten. Kies filter en rapportdoel zo dat de belangrijkste 50 records de concrete operationele vraag beantwoorden. Als volledige ruwe gegevens, een langere historie of analyses over meerdere firewalls nodig zijn, is een centrale reporting- of SIEM-workflow geschikter.

Hetzelfde rapport komt tweemaal aan

In een HA-cluster kunnen twee e-mails te verwachten zijn; de officiële beschrijvingen van de gegevensafhankelijke verzending door de Auxiliary Appliance verschillen, zoals toegelicht in de sectie over HA-werking. Controleer het gekozen rapport op de gebruikte build met Generate now en vergelijk afzender, appliance, periode en inhoud voordat een vermeend dubbele planning wordt verwijderd. Alleen het ontbreken van een tweede e-mail toont geen HA-fout aan. Bij één firewall wordt daarentegen gecontroleerd of twee planningen dezelfde rapportselectie en dezelfde ontvanger gebruiken.