Vergelijk Sophos Firewall Bundels

Voor de aankoop of vernieuwing van een Sophos Firewall moet niet alleen naar het hardwaremodel worden gekeken. Het is ook belangrijk welke beveiligingsmodules, welke ondersteuning en welke Central-functies in de praktijk echt nodig zijn. Daarvoor zijn de Sophos Firewall Bundels relevant.

Een bundel kan economisch voordeliger zijn dan losse licenties. Het kan echter ook leiden tot de aanschaf van functies die in de praktijk nauwelijks worden gebruikt. Daarom moet eerst worden vastgesteld welke beveiligingsfuncties, rapportagevereisten en ondersteuningsverwachtingen bij de omgeving passen.

Welke licentie-artikel past?

Licentie- en aankoopbeslissingen hangen samen, maar beantwoorden verschillende vragen:

Vergelijk Standard Protection, Xstream Protection en Epic Protection: Dit artikel.
Dimensioneer firewallmodel en prestatieklasse: Sophos Firewall Sizing Guide: XGS correct dimensioneren.
Base License, Support en Subscriptions duidelijk scheiden: Sophos Firewall Base License begrijpen.
Kies hardware, virtuele firewall, software appliance of cloud deployment: Sophos Firewall: Hardware, virtueel of Cloud?.
Controleer garantie, supportstatus of RMA-vragen: Sophos Hardware Garantie, Support en RMA classificeren.
Activeer licentiesleutel op de firewall: Sophos Firewall Licentiesleutel activeren.
Draag firewall over naar een ander Sophos Central account: Sophos Firewall overdragen naar ander Sophos Central account.

Deze scheiding is belangrijk: De juiste bundel vervangt geen sizing, geen lifecycle-controle en geen duidelijke accounttoewijzing. Omgekeerd helpt het beste hardwaremodel weinig als ondersteuning, beveiligingsmodules of rapportage niet bij de operatie passen.

Overzicht van Sophos Firewall Bundels

Voor XGS Firewall Appliances met Sophos Firewall OS zijn doorgaans drie bundelvarianten het belangrijkst:

Standard Protection: Base License, Network Protection, Web Protection, Enhanced Support. Klassieke UTM-functies, webfilter, IPS, ondersteuning en firmware-updates.
Xstream Protection: Standard Protection plus Zero-Day Protection, Central Orchestration en andere Xstream-/Central-functies per aanbod. Omgevingen met een sterkere focus op cloud, SD-WAN, rapportage of geavanceerde malware.
Epic Protection: Xstream Protection plus Email Protection en Webserver Protection. Omgevingen die mailbeveiliging of WAF-functies direct op de firewall willen uitvoeren.

Sophos Firewall - Nieuwe XGS Hardware Bundels — Overzicht van de Sophos Firewall Bundels (Licentiebundels)

De tabel is bewust niet bedoeld als volledige licentiematrix. Sophos kan bundelnamen, acties, looptijden en inbegrepen extra diensten wijzigen. Voor aankoop of vernieuwing moet daarom altijd het concrete aanbod en de zichtbare licentieoverzicht in Sophos Central of op de firewall worden vergeleken met de technische behoefte.

Standard Protection classificeren

Standard Protection is in veel omgevingen de pragmatische start als een Sophos Firewall vooral klassieke gateway-beveiliging moet bieden: IPS, Web Protection, Application Control, ondersteuning en updatebevoegdheid.

Standard Protection is zinvol als deze punten van toepassing zijn:

Een enkele of enkele firewalls beschermen kantoor-, server- of locatienetwerken.
Web Protection en IPS worden echt gebruikt en gelogd.
Zero-Day Protection, Central Orchestration of firewall-gebaseerde mail/WAF-functies maken geen deel uit van het bedrijfsmodel.
Rapportage wordt lokaal, via Syslog, SIEM of apart via Central Firewall Reporting opgelost.
De omgeving moet niet vanwege een hardware-promotie naar een hogere bundel worden geduwd.

Voor veel kleinere en middelgrote omgevingen is dit het meest zuivere startpunt. Doorslaggevend is echter niet de bundelnaam, maar of de beveiligingsfuncties ook worden geactiveerd, bewaakt en onderhouden.

Xstream Protection classificeren

Xstream Protection vult Standard Protection vooral aan met functies die meer gericht zijn op Advanced Threat Protection, Central-functies, rapportage, DNS-/cloudbescherming en SD-WAN-orchestratie. De bundel is niet automatisch de moeite waard, alleen omdat het in een promotie aantrekkelijk lijkt.

Xstream Protection moet worden overwogen als ten minste een van deze punten relevant is:

Zero-Day Protection moet echt worden gebruikt voor downloads of webverkeer.
TLS Inspection is gepland of al geïmplementeerd, zodat versleuteld verkeer zinvol kan worden geanalyseerd.
Meerdere firewalls moeten efficiënter worden beheerd via Sophos Central en SD-WAN-orchestratie.
Central-functies zoals rapportage, orchestratie, DNS Protection of extra clouddiensten maken deel uit van het bedrijfsconcept.
Er is een persoon of team dat regelmatig alerts, uitzonderingen en false positives controleert.

Bij Sophos Firewall Zero-Day Protection is het bijzonder belangrijk: De licentie alleen beschermt niet automatisch elke download. Doorslaggevend zijn passende policies, TLS-inspectieplanning, gebruikersacceptatie, uitzonderingen en monitoring. Zonder deze operationele inspanning blijft het praktische nut beperkt.

De grootste praktische meerwaarde van Xstream Protection zien we vaak daar waar Threat Feeds van derden actief worden gebruikt. Hiermee kunnen bekende kwaadaardige IP’s, gecompromitteerde systemen of andere externe threat-intelligence bronnen direct in de firewall-policy worden meegenomen.

Central Orchestration is vooral interessant als meerdere firewalls, meerdere VPN-locaties of complexere SD-WAN-ontwerpen worden beheerd. Bij een enkele firewall of enkele eenvoudige site-to-site tunnels kan handmatige configuratie nog steeds voldoende zijn. Voor centrale firewall-wijzigingen moet ook de Sophos Central Firewall Management Task Queue in het bedrijfsproces worden opgenomen.

Epic Protection classificeren

Epic Protection is de uitgebreidere bundel, maar moet niet als standaardantwoord voor elke omgeving worden gezien. De meerwaarde hangt sterk af van of Email Protection en Webserver Protection echt op de Sophos Firewall moeten worden uitgevoerd.

Epic Protection is eerder zinvol als deze vragen met Ja worden beantwoord:

Moet de Sophos Firewall als mailbeveiligingscomponent in de eigen mailstroom werken?
Worden gepubliceerde webservers of applicaties via de firewall beschermd?
Zijn er duidelijke verantwoordelijkheden voor mail-, WAF-, certificaat- en uitzonderingsbeheer?
Zijn logging, quarantaine, probleemoplossing en wijzigingen voor deze functies organisatorisch gedekt?

Als e-mailbeveiliging al is opgelost via Sophos Central Email, Microsoft 365 Security, een andere Secure Email Gateway of een gespecialiseerde dienst, hoeft Email Protection op de firewall niet automatisch extra te worden aangeschaft. Hetzelfde geldt voor Webserver Protection: Een WAF op de firewall is alleen zinvol als het past bij de applicatiearchitectuur, TLS-operatie en verantwoordelijkheidsmodel.

Beslissingsmatrix voor aankoop en vernieuwing

Voor aankoop, vernieuwing of bundelwissel moet men niet alleen prijzen vergelijken. Beter is een korte professionele matrix:

Welke beveiligingsfuncties worden vandaag actief gebruikt? Gekochte, maar niet geconfigureerde modules bieden geen beveiligingswinst.
Welke functies moeten in de komende 12 tot 36 maanden worden geïntroduceerd? Een bundel kan zinvol zijn als de introductie realistisch is gepland.
Is er voldoende tijd voor onderhoud, uitzonderingen en logcontrole? IPS, Web Protection, Zero-Day Protection en WAF veroorzaken operationele inspanning.
Waar worden logs op lange termijn opgeslagen? Lokale rapportage is vaak niet voldoende voor langere bewijzen of audits.
Hoeveel firewalls, locaties en VPN’s zijn er? Central Orchestration is meer de moeite waard bij meerdere firewalls en complexere topologieën.
Welke beveiligingsfuncties draaien al buiten de firewall? Endpoint, DNS, E-mail, WAF en SIEM kunnen functies gedeeltelijk vervangen of aanvullen.
Is het aanbod gebonden aan een vaste looptijd? Meerjarige aanbiedingen kunnen financieel voordelig zijn, maar binden budget en architectuur.

Deze matrix helpt vooral bij vernieuwingen. Een omgeving die drie jaar geleden met Xstream Protection is gestart, gebruikt vandaag misschien alleen standaardfuncties. Omgekeerd kan een tot nu toe eenvoudige firewall inmiddels meer rapportage, SD-WAN of Advanced Malware Protection nodig hebben.

Sophos Standard Protection vs. Xstream Protection — Standard Protection en Xstream Protection moeten niet alleen op hardwarekorting worden vergeleken.

Sophos-promoties kunnen op het eerste gezicht zeer aantrekkelijk lijken, omdat hardware sterk wordt gereduceerd als een bepaalde bundel of looptijd wordt gekozen. Voor de technische beslissing is echter niet alleen de korting doorslaggevend.

Voor een promo-beslissing moet men deze punten afzonderlijk bekijken:

Totale kosten over de gehele looptijd, niet alleen de hardwareprijs.
Vooruitbetaling en budgetbinding bij meerjarige looptijden.
Werkelijk benodigde modules in vergelijking met meegekochte modules.
Inspanning voor introductie, monitoring en onderhoud van extra functies.
Vernieuwingssituatie na afloop van de promotie.
Risico dat functies alleen vanwege de bundel worden gekocht, maar nooit worden gebruikt.

Een Xstream-promotie kan zinvol zijn als Zero-Day Protection, Central Orchestration of aanvullende Central-functies echt worden gebruikt. Als deze functies niet worden gebruikt, is Standard Protection ondanks een kleinere hardwarekorting vaak de eerlijkere beslissing.

Wat een bundel niet vervangt

Een bundel lost geen architectuur- of operationele problemen op. Het maakt functies beschikbaar, maar configureert ze niet zinvol.

Niet afleiden uit een bundel:

dat het firewallmodel correct is gedimensioneerd,
dat alle beveiligingsfuncties automatisch zijn geactiveerd,
dat TLS Inspection zonder uitrolplan werkt,
dat logs lang genoeg worden bewaard,
dat HA, backup of herstel goed zijn gepland,
dat een supportcase zonder serienummer, licentiestatus en documentatie snel kan worden opgelost.

Voor de technische basis moeten daarom Sophos Firewall na de Setup Wizard correct configureren, Sophos Firewall Backup maken of herstellen en Sophos Firewall Firmware Update: Voorbereiding en Best Practices parallel worden bekeken.

Vernieuwingschecklist

Voor een vernieuwing moet men de licentie niet zomaar ongewijzigd verlengen. Beter is een korte operationele controle:

Controleer serienummer en model van de firewall.
Documenteer huidige Base License, Support en Subscriptions.
Vergelijk gebruikte modules met de huidige bundel.
Identificeer ongebruikte modules.
Beoordeel ontbrekende modules op basis van concrete vereisten.
Controleer firmwarestatus en updatebevoegdheid.
Classificeer XG-, SG- of XGS-lifecycle.
Controleer rapportagebewaring en Syslog/SIEM-koppeling.
HA-cluster: controleer beide nodes, rollen en licentiesynchronisatie.
Virtuele firewalls: controleer CPU-cores, instantie, licentie en accounttoewijzing.

Voor serienummer en accounttoewijzing passen Serienummer van de Sophos Firewall vinden en Sophos Firewall overdragen naar ander Sophos Central account. Voor platform- en lifecycle-vragen helpt Sophos XG vs. XGS: Verschillen, EOL en Migratie.

Typische fouten

Bundel kiezen alleen vanwege hardwarekorting: Functies worden betaald, maar niet gebruikt. Beoordeel functionele behoefte en operationele kosten los van de korting.
Base License verwarren met Support: Update- en supportmogelijkheden worden verkeerd ingeschat. Base License, Support en Subscriptions afzonderlijk beoordelen.
Zero-Day Protection kopen zonder TLS-inspectieplan: Beschermingsniveau blijft beperkt of leidt tot gebruikersfrustratie. Plan uitrol, uitzonderingen, testgroep en monitoring.
Central Orchestration kiezen voor een zeer eenvoudige omgeving: Extra licentie biedt nauwelijks praktisch nut. Beoordeel aantal firewalls, VPN’s en SD-WAN-complexiteit.
Email Protection dubbel licentiëren: Mailbeveiliging wordt onnodig complex of duur. Controleer bestaande e-mailbeveiligingsarchitectuur.
Rapportagevereisten vergeten: Logs ontbreken later voor analyse, audit of verzekering. Plan Central Reporting, Syslog of SIEM vroegtijdig.

FAQ

Welke Sophos Firewall Bundel is voor de meeste omgevingen zinvol?

Voor veel kleinere en middelgrote omgevingen is Standard Protection een goed startpunt als klassieke firewall-, IPS-, webbeschermings- en ondersteuningsfuncties nodig zijn. Xstream of Epic zijn de moeite waard als de extra functies echt worden geïntroduceerd en gebruikt.

Is Xstream Protection automatisch beter dan Standard Protection?

Nee. Xstream Protection bevat extra functies, maar deze moeten technisch en organisatorisch worden gebruikt. Als Zero-Day Protection, Central Orchestration of passende Central-functies niet worden gebruikt, kan Standard Protection de betere keuze zijn.

Heeft men Epic Protection nodig voor elke Sophos Firewall?

Nee. Epic Protection is vooral interessant als Email Protection of Webserver Protection op de firewall nodig zijn. Als deze taken al door andere diensten worden gedekt, moet de meerwaarde zorgvuldig worden beoordeeld.

Zijn firmware-updates inbegrepen in de bundels?

De gebruikelijke bundels bevatten Enhanced Support. Toch moet men voor elke grote firmware-update de supportstatus, vervaldatums en updatebevoegdheid controleren. De Base License alleen moet niet worden verward met volledige ondersteuning.

Moet men een bundel bij vernieuwing ongewijzigd verlengen?

Niet automatisch. Voor de vernieuwing moet men controleren welke modules daadwerkelijk worden gebruikt, of er nieuwe vereisten zijn ontstaan, of rapportage voldoende is en of hardware, firmware en lifecycle nog bij de omgeving passen.