Sophos Firewall OS (SFOS) Update v17.5 - MR3 wydana

Sophos udostępnił wersję 17.5 MR3 systemu Sophos Firewall OS (SFOS). Nowe oprogramowanie sprzętowe można natychmiast pobrać z portalu MySophos.

W ciągu najbliższych dni nowy firmware będzie również automatycznie dostępny w interfejsie WebAdmin zapory i będzie można go zainstalować jednym kliknięciem.*

Uwaga: więcej informacji na temat aktualizacji znajdziesz w artykule: Sophos Firewall: How to upgrade the firmware.

*Z tej wygodniejszej metody mogą skorzystać wyłącznie klienci, którzy wykupili Sophos Enhanced Support. Sophos Enhanced Support jest automatycznie dołączany do wszystkich pakietów (EnterpriseProtect, EnterpriseGuard, TotalProtect, FullGuard), ale można go również nabyć osobno.

Co stało się z MR2?

SFOS 17.5 MR2 został wydany po cichu, wyłącznie na potrzeby testów w NSS Labs. NSS Labs ponownie poddał XG Firewall szczegółowym testom, tak aby wraz z wersją MR3 wszyscy użytkownicy mogli skorzystać z nowych funkcji i poprawek błędów.

Obsługa APX

Gdy w lipcu 2018 r. pojawiła się nowa seria punktów dostępowych APX firmy Sophos, można było korzystać z nich wyłącznie w połączeniu z Sophos Central Wireless. Już wtedy Sophos zapowiedział, że wsparcie dla XG Firewall pojawi się w grudniu 2018 r. Dziś, z dwumiesięcznym opóźnieniem, punkty dostępowe APX mogą wreszcie być zarządzane także bezpośrednio poprzez XG Firewall. 🎉

Od razu przetestowaliśmy obsługę XG Firewall na naszym APX 740. Ponieważ wcześniej punkt był zarządzany przez Central, najpierw musieliśmy usunąć to powiązanie. Po tym zabiegu access point natychmiast pojawił się w XG Firewall. Skojarzenie przebiegło bez żadnych problemów. 😅

Jeśli korzystasz z XG Firewall i potrzebujesz do niej nowych punktów dostępowych, rekomendujemy od teraz brać pod uwagę wyłącznie serię APX. Dla zapór SG z systemem UTM nadal dostępne są standardowe modele AP.

• Sophos APX 120 (Tylko dla Sophos Central. Obsługa XG była planowana na połowę 2019 roku.)
• Sophos APX 320
• Sophos APX 530
• Sophos APX 740

Weryfikacja odbiorców e-mail przez Active Directory

Ponieważ silnik UTM działa teraz również na XG Firewall, ostatnie brakujące funkcje są stopniowo przenoszone na platformę XG. W SFOS v17.5.3 możliwa jest weryfikacja odbiorców za pomocą zapytania do Active Directory. Oznacza to, że przed przyjęciem wiadomości sprawdzane jest, czy skrzynka pocztowa lub adres e-mail istnieje na serwerze poczty.

Obsługa Airgap

Airgap to funkcja zapowiedziana już wraz z SFOS 17.5. Dzięki Airgap zapory XG Firewall mogą być licencjonowane i aktualizowane w trybie offline. Dotychczas możliwe były jedynie aktualizacje firmware’u offline, natomiast aktualizacje wzorców (pattern updates) są dostępne dopiero od tej wersji.

Interfejs bridge - obsługa klienta DHCP

Interfejsy typu bridge mogą teraz pobierać adresy IPv4 i IPv6 oraz informacje DNS za pomocą DHCP.

Poprawki błędów

• NC-29354 [API] Response for xmlapi get for SyslogServer is missing some value
• NC-29808 [API] API Authentication should be case insensitive
• NC-35920 [API] Wrong XML is generated for client-less users when username added with capital letter
• NC-30616 [Authentication] Guest username/id and passwords are changed after migration
• NC-33449 [Authentication] Group name showing under “undefined” during AD group import
• NC-35923 [Authentication] XML export of guest users contains wrong information of user validity
• NC-38607 [Authentication] Provide a JSON config download for GSuite in the XG UI
• NC-39026 [Authentication] Chromebook Support port is missing in port validation opcode
• NC-39106 [Authentication] Access_server is restarted due to missing service heartbeat
• NC-30365 [Base System] Fix error message for new firmware check on auxiliary device
• NC-37824 [Base System] SFM/CFM - at device dashboard AV version shows as 0
• NC-38546 [Base System] Fix log message for scheduled backup and update message
• NC-39177 [Base System] Garner - sigsegv_dump: Segmentation Fault
• NC-39179 [Base System] Customization of captive portal not working
• NC-39688 [Base System] Virtual firewall reboots after applying license
• NC-40157 [Base System] Garner service stopped with sigsegv_dump: Segmentation Fault
• NC-40268 [Base System] Not able to access HA device via Central Management
• NC-38469 [Email] Increase csc monitor time for avd service
• NC-38521 [Email] Add support for recipient verification via AD using STARTTLS
• NC-39827 [Email] Improve documentation for mail spool and SMTP policies
• NC-35434 [Firewall] csc worker gets killed causing errors in port forwarding
• NC-35521 [Firewall] Import of exported config does not recreate the device access permissions correctly
• NC-38318 [Firewall] XML change and revert details are not generated for “firewall group” entity when create firewall rule from SFM device Level
• NC-39316 [Firewall] Group edit fail when user edit existing group and new name have double space
• NC-39605 [Firewall] Modifying one time schedules fails, if timer has already triggered
• NC-40080 [Firewall] Improve UI and help for group creation based on EAP feedback
• NC-29296 [IPsec] Charon doesn’t reconnect in all cases
• NC-29365 [IPsec] IPSec tunnel fails when there are whitespaces at the begin or end of the PSK
• NC-30599 [IPsec] Checkboxes on IPSec UI pages do not work using Safari
• NC-38824 [IPsec] Spelling error in message when IPSec cannot be established
• NC-38946 [IPsec] Child SA going down randomly with Checkpoint IPSec connection
• NC-38603 [nSXLd] Custom URL web category list stopped working after updating to v17.1MR2
• NC-38958 [Reporting] Smart search filter is not working properly for “is not” filter in log viewer
• NC-39530 [Reporting] Logo is too close to the name of the report page
• NC-39770 [Reporting] ‘Context’ column getting removed after click on Reset to default for web content policy logs
• NC-39479 [Sandstorm] Dashboard message not correct for Single Scan Avira with Sandstorm
• NC-35750 [SecurityHeartbeat] Heartbeat widget not displayed on slave node when registered
• NC-38778 [SNMP] Unable to fetch the value for particular OID in SNMP server
• NC-35490 [Synchronized App Control] Application are not classified in Synchronized Application Control list
• NC-32342 [UI Framework] Restrict number of connection from particular IP at a particular time
• NC-39078 [UI Framework] Update Apache Commons Collections (CVE-2015-7501, CVE-2015-6420, CVE-2017-15708)
• NC-39081 [UI Framework] Update Apache Commons FileUpload (CVE-2016-3092, CVE-2016-1000031)
• NC-39910 [UI Framework] Policy Tester is not working via Central Management
• NC-38295 [WAF] WAF Rules not working after HA takeover
• NC-31388 [Web] URL Category Lookup doesn’t allow punycode-encoded domain names
• NC-31485 [Web] Skipping sandbox check is not being exported in the XML for WebFilterException
• NC-35585 [Web] Only 10 cloud applications are listed if the screen resolution is 2560*1440 or higher
• NC-36320 [Web] AppPolicy becomes DenyAll if all “characteristics” and any classification selected