Sophos Firewall v22: Przegląd i wszystkie nowe funkcje

Sophos Firewall v22 stawia na utwardzenie, przejrzystą widoczność i stabilne procesy operacyjne. Zmodernizowana architektura Xstream, utwardzone jądro i nowe funkcje eksploatacyjne pomagają zmniejszyć powierzchnię ataku oraz uprościć administrację. W tym wpisie omawiamy wszystkie nowości w SFOS v22.

Health Check

Health Check to zintegrowana kontrola konfiguracji w Sophos Firewall v22. Jej celem jest wczesne ujawnianie błędnych konfiguracji, zanim staną się problemem bezpieczeństwa lub problemem operacyjnym. Funkcja odpowiada na rosnące zagrożenia wobec infrastruktury wystawionej do Internetu i wpisuje się w podejście Secure by Design zgodne z wytycznymi CISA. Sophos utwardzał firewall przez kilka kolejnych wydań, uprościł łatanie i poprawił wykrywanie aktywnych ataków. Wyróżnikiem są over-the-air hotfix bez downtime’u oraz aktywne monitorowanie zainstalowanej bazy przez Sophos w celu wykrywania wczesnych wskaźników ataku.

Do czego przeznaczony jest Health Check Ocenia dziesiątki ustawień względem benchmarków CIS i uznanych dobrych praktyk. Typowe obszary kontroli to przestarzałe lub niebezpieczne szyfry TLS, zbyt szerokie polityki administratorów i użytkowników, nieużywane lub nakładające się reguły, niepotrzebnie eksponowane usługi oraz podstawowe elementy utwardzenia, takie jak czas, uwierzytelnianie i logowanie. Dzięki temu Sophos Firewall v22 ułatwia utrzymanie wysokiej higieny polityk i eliminowanie niezamierzonych luk.

Jak działa Health Check W Control Center widżet na pulpicie pokazuje status. Kliknięcie przenosi do widoku szczegółowego; można tam też przejść z menu głównego przez “Firewall health check”. Wyniki są priorytetyzowane, opisane i powiązane z przejściem do właściwej maski ustawień. Dzięki temu odchylenia można usunąć bez długiego szukania.

Jak korzystać z Health Check w eksploatacji Warto uruchamiać go przed go-live, po zmianach polityk, po aktualizacjach firmware’u oraz regularnie w bieżącej eksploatacji. Służy jako obiektywna walidacja w procesach CAB i dostarcza dowodów audytowych dotyczących ciągłej higieny polityk.

Health Check obejmuje jakość konfiguracji, a nie stan sprzętu. Nie sprawdza, czy wewnętrzne bazy danych są spójne ani czy RAM lub SSD wykazują błędy zapisu. Widoczny wskaźnik stanu w GUI byłby tutaj dodatkowo pomocny.

Health Check: Obszary kontroli w szczegółach

Health Check pokazuje w dashboardzie wszystkie sprawdzane punkty, podobnie jak audyt bezpieczeństwa. Każdy punkt zawiera moduł, standard, poziom ważności, status i bezpośrednią akcję. Dzięki temu od razu widać, które konfiguracje odbiegają od dobrych praktyk. Wybór najważniejszych kontroli:

• Synchronized Application Control should be turned on.
• NDR Essentials should be turned on and at least on one interface selected.
• Sophos X-Ops should be turned on. An Action should be set to Log and drop.
• MDR threat feeds should be turned on. An Action should be set to Log and drop.
• A firewall rule should have Synchronized Security Heartbeat settings.
• Security Heartbeat should be turned on.
• Login disclaimer should be turned on.
• Hotfix settings should be turned on.
• Remote sessions should be signed out. Sign-ins should be blocked for the specified unsuccessful attempts.
• Password complexity should be configured for users.
• Password complexity should be configured for administrators.
• DNS Protection should be configured and have an active status.
• MFA should be configured for remote access VPN (IPsec and SSL VPN) sign-ins.
• MFA should be configured for web admin console and VPN portal sign-ins.
• The firewall’s connection with authentication servers should be encrypted.
• Backups should be scheduled.
• Public key authentication should be configured for SSH access to the firewall.
• User portal shouldn’t be accessible from WAN.
• Web admin console shouldn’t be accessible from WAN.
• MFA should be configured for the default admin.
• Notification emails should be configured for system and security events.
• Automatic update should be turned on for pattern download and installation.
• A Web policy should be selected in a firewall rule.
• Zero-day protection should be selected in a firewall rule.
• Intrusion prevention should be turned on. An IPS policy should be selected in a firewall rule.
• An Application control policy should be selected in a firewall rule.
• An SSL/TLS inspection rule should have Action set to Decrypt.
• A firewall rule with Action set to Allow shouldn’t have all the network and service settings set to Any.
• Sophos Central reporting should be turned on.
• The firewall should send its backups to Sophos Central.
• The firewall should be registered for Sophos Central management. Sophos Central management should be turned on.
• NTP server should be configured.

Ta lista pokazuje, że Health Check obejmuje zarówno konfiguracje techniczne, jak i organizacyjne wytyczne bezpieczeństwa.

Niektóre punkty są bez wątpienia sensowne, inne można kwestionować. Na przykład: “Login disclaimer should be turned on”. Taki komunikat ostrzegawczy zwiększa bezpieczeństwo tylko w ograniczonym stopniu - nikt go tak naprawdę nie czyta, a w praktyce zwykle jest po prostu odklikany. Spełnia on jednak wymogi prawne w niektórych środowiskach, np. jako warunki użytkowania lub zastrzeżenie odpowiedzialności. Z czysto technicznego punktu widzenia nie jest to realny mechanizm ochronny, lecz raczej formalny element sygnalizujący świadomość bezpieczeństwa.

Status poszczególnych kontroli można ręcznie nadpisać. Pozwala to oznaczyć punkt jako „Complies”, nawet jeśli technicznie nie jest spełniony. Pojawia się wtedy jednak symbol ⚠️, który oznacza nadpisany status. Dzięki temu zachowana jest przejrzystość, a administratorzy nadal mają potrzebną elastyczność.

Widać też, że niektóre punkty kontrolne mocno nawiązują do Sophos Central, MDR, NDR lub DNS Protection. Z perspektywy Sophos jest to oczywiście także forma cross-sellingu, bo podkreśla wartość integracji z własnym ekosystemem. Mimo to wiele z tych zaleceń daje realną wartość, na przykład przez skonsolidowane zarządzanie lub zautomatyzowane alertowanie.

Next-Gen Xstream Control Plane

Wraz z Sophos Firewall v22 Sophos gruntownie rozwinął architekturę Xstream. Pierwotna koncepcja została wprowadzona w wersji 18, aby w pełni wykorzystać wydajność sprzętu XGS; nowa generacja ma jednak znacznie szerszy cel niż sama wydajność: w centrum są bezpieczeństwo, stabilność i gotowość na przyszłe wymagania.

Nowy fundament dla bezpieczeństwa i skalowalności

Przebudowany Control Plane został zaprojektowany od nowa. Zamiast monolitycznego systemu Sophos stawia teraz na modułowe framework, w którym kluczowe usługi, takie jak IPS, filtr WWW czy inspekcja SSL, działają w izolacji od siebie. Każda usługa zachowuje się jak osobna aplikacja wewnątrz firewalla i może być zarządzana lub restartowana niezależnie. Dzięki temu inne funkcje pozostają stabilne, nawet jeśli jeden moduł zareaguje nieprawidłowo lub ulegnie awarii.

Z punktu widzenia inżyniera bezpieczeństwa to ważny krok: architektura minimalizuje zależności i ogranicza wpływ potencjalnych exploitów na pojedyncze komponenty. Jednocześnie tworzy podstawę dla izolacji Zero Trust wewnątrz systemu - koncepcji, która dotąd była kojarzona raczej z nowoczesnymi platformami chmurowymi.

Niezależność od sprzętu i środowiska

Dużą zaletą nowej architektury Xstream jest jej niezależność od specjalizowanego sprzętu. W przeciwieństwie do wielu konkurentów Sophos Firewall v22 nie opiera się na dedykowanych układach ASIC ani układach fixed-function. Architektura działa spójnie na sprzęcie fizycznym, maszynach wirtualnych i w środowiskach chmurowych. Zapewnia to jednolite zachowanie na wszystkich platformach i ułatwia automatyzację w codziennej eksploatacji.

Ulepszona wysoka dostępność z samonaprawą

Nowością jest również logika samonaprawy w klastrach HA. Control Plane stale monitoruje stan obu systemów i automatycznie koryguje odchylenia. Jeśli wykryje różnice w konfiguracji lub statusie synchronizacji, firewall sam inicjuje korektę. Ogranicza to sytuacje błędowe, zmniejsza nakład utrzymaniowy i wyraźnie poprawia dostępność. W praktyce oznacza to mniej nieplanowanych restartów i stabilniejszą pracę klastra.

Perspektywa techniczna i przyszłość

Nowa architektura Xstream tworzy fundament pod przyszłe funkcje, takie jak klastrowanie n-węzłowe, w pełni konteneryzowane usługi bezpieczeństwa i pełnoprawne REST API do zdalnego zarządzania oraz automatyzacji. Tym samym Sophos Firewall v22 wyraźnie zmierza w kierunku architektury platformowej, która przypomina nowoczesne zasady cloud: usługowej, dynamicznej i skoncentrowanej na bezpieczeństwie.

Z profesjonalnego punktu widzenia ta przebudowa to coś więcej niż techniczna aktualizacja. Zmienia sposób, w jaki firewalle będą projektowane w przyszłości: odejście od monolitycznych appliance’ów w stronę elastycznej, usługowej infrastruktury, którą można szybko dostosowywać i automatycznie zarządzać. Dla operatorów o wysokich wymaganiach dotyczących uptime’u, compliance i skalowalności to istotny krok naprzód.

Całkowicie się zgadzam - przejście w stronę przetwarzania opartego na CPU ma technicznie dużo sensu. Nie wszystkie appliance’y XGS mają NPU przyspieszające ruch, a zwłaszcza firewalle wirtualne zawsze były tu w gorszej pozycji. Dzięki nowej architekturze wydajność znów mocniej opiera się na nowoczesnych CPU, co zapewnia jednolite zachowanie na wszystkich platformach. W starszych desktopowych modelach XGS połączenie CPU i NPU było też wymagające termicznie, co prowadziło do większego hałasu. Nowe generacje są znacznie cichsze dzięki rezygnacji z tego podwójnego obciążenia procesorowego. Kto pamięta jeszcze porównanie, rozumie, dlaczego powrót do optymalizacji pod CPU ma sens zarówno strategicznie, jak i praktycznie.

Utwardzone jądro 6.6+

Sophos Firewall v22 wykorzystuje zmodernizowane jądro Linux (v6.6+) dla większego bezpieczeństwa, wydajności i skalowalności. Kluczowe aspekty to ściślejsza izolacja procesów oraz szerokie zabezpieczenia przeciwko atakom kanałami bocznymi i podatnościom CPU, takim jak Spectre, Meltdown, L1TF, MDS, Retbleed, ZenBleed i Downfall. Dodatkowo aktywne są hardened usercopy, Stack Canaries i Kernel Address Space Layout Randomization (KASLR). Zmniejsza to możliwość wykorzystania błędów pamięci, stabilizuje zachowanie w czasie działania i wzmacnia fundament architektury Xstream.

Remote Integrity Monitoring

Remote Integrity Monitoring w SFOS v22 uzupełnia utwardzenie jądra o ciągłe monitorowanie integralności systemu. Prościej mówiąc: sprawdza w tle, czy na firewallu nie zmienia się coś, co nie powinno. Wbudowany linuxowy sensor XDR rejestruje zdarzenia istotne dla bezpieczeństwa na poziomie systemu i usług - na przykład uruchomienie nieznanego procesu, zmianę plików konfiguracyjnych, eksport reguł albo manipulację krytycznymi plikami.

Te informacje są wysyłane do Sophos Central wraz z czasem, użytkownikiem i źródłem. Tam można je skorelować z innymi danymi - na przykład z endpointów, bram e-mail lub usług tożsamości. Pozwala to administratorom szybciej wykrywać nietypowe zachowania i reagować celowo, zanim rozwiną się w większy problem.

Dla codziennej pracy administratora IT oznacza to: jeśli ktoś niezauważenie próbuje coś zmienić na firewallu albo zmodyfikować plik, zostanie to wykryte i zgłoszone. Funkcja pomaga więc wcześnie wykrywać ciche ataki lub błędne konfiguracje bez konieczności ciągłego ręcznego sprawdzania. Jednocześnie wspiera Sophos w centralnym monitorowaniu zachowania zainstalowanych firewalli, a tym samym w identyfikowaniu wzorców i potencjalnych problemów bezpieczeństwa.

Active Threat Response (Threat Feeds dla WAF i NAT)

W ramach feature requestu SFSW-I-2618 w końcu wdrożono długo oczekiwane zachowanie. Threat Feeds to dynamiczne listy znanych złośliwych adresów IP, które są na bieżąco aktualizowane przez dostawców Threat Intelligence, takich jak my (Avanet Threat Feeds). Służą one do proaktywnego blokowania ataków z Internetu, zanim w ogóle zbliżą się do usługi.

Do tej pory te feedy były jednak używane wyłącznie do ochrony portali Sophos. Reguły NAT i WAF pozostawały poza ich zasięgiem - co z praktycznego punktu widzenia wyglądało mniej jak brakująca funkcja, a bardziej jak błąd.

W Sophos Firewall v22 to ograniczenie zostało usunięte. Threat Feeds są teraz automatycznie stosowane również do reguł NAT i WAF. Oznacza to, że gdy tylko zostanie wykryte połączenie z adresu IP znajdującego się w feedzie, firewall blokuje je automatycznie - także przy przekierowaniach lub regułach serwerów WWW. Nie trzeba więc utrzymywać oddzielnych reguł ani obejść.

Ta zmiana to duży krok naprzód, ponieważ Threat Feeds chronią teraz również usługi produkcyjne, takie jak serwery WWW, i bezpośrednio wspierają wykrywanie oraz odpieranie ataków. Firewall reaguje dzięki temu w czasie rzeczywistym na aktualne zagrożenia bez konieczności ręcznej interwencji. To mały, ale technicznie istotny szczegół, który ponownie wyraźnie podnosi wartość bezpieczeństwa Sophos Firewall v22.

Ulepszenia NDR

Dla ruchu wychodzącego obsługiwane jest dopasowanie źródłowego adresu IP z NDR Essentials i zewnętrznymi feedami, aby identyfikować i blokować przejęte, niezarządzane urządzenia. Threat Score NDR Essentials pojawia się bezpośrednio w logach. Ponadto od SFOS v21.5 MR1 można jawnie wybrać region centrum danych NDR Essentials; domyślnie używany jest region o najniższym opóźnieniu.

Kontrola dostępu API

Dostęp do API zarządzania można ograniczyć do konkretnych obiektów IP. Do 64 wpisów pozwala czysto rozdzielić workery automatyzacji, sieci zarządzające i zewnętrzne dostępy partnerskie. W oknach zmian zakres można tymczasowo rozszerzyć, a następnie ponownie ograniczyć. Zalecenie: zezwalać tylko z dedykowanych sieci zarządzających, włączyć logowanie i regularnie sprawdzać dostępy. Konfiguracja odbywa się w SFOS v22 w sekcji Administracja.

Aktualizacje firmware’u przez SSL z certificate pinning

SFOS v22 weryfikuje serwery aktualizacji przez SSL i certificate pinning. Zmniejsza to ryzyko zmanipulowanej infrastruktury aktualizacji. W środowiskach ze ścisłymi politykami egress docelowe FQDN powinny trafić na listy dozwolone, aby aktualizacje działały niezawodnie.

HTTP/2 i TLS 1.3 dla Device Access

Web Admin Console, VPN Portal i User Portal używają teraz HTTP/2 i TLS 1.3. Obie technologie zapewniają szybsze zestawianie połączeń, stabilniejsze działanie i lepsze szyfrowanie. Różnica jest szczególnie widoczna przy logowaniu i ładowaniu stron w interfejsie WebAdmin, który reaguje zauważalnie sprawniej.

HTTP/2 łączy wiele żądań w jednym połączeniu, dzięki czemu firewall skraca czasy oczekiwania między klientem a serwerem. TLS 1.3 zapewnia jednocześnie nowoczesne szyfrowanie z krótszym handshake i wyższym poziomem bezpieczeństwa. W starszych środowiskach sieciowych, w których nadal używane są starsze firewalle lub systemy proxy, przed aktywacją warto krótko sprawdzić kompatybilność.

Monitorowanie za pomocą sFlow i wartości sprzętowych SNMP

sFlow umożliwia próbkowanie ruchu do centralnych kolektorów, aby wykrywać skoki wolumenu, nietypowe przepływy i anomalie w czasie rzeczywistym. Domyślna częstotliwość próbkowania to 400, minimum 10. Obsługiwanych jest do 5 kolektorów. sFlow można aktywować na interfejsach fizycznych, aliasach i interfejsach VLAN. Uwaga: na interfejsie monitorowania FastPath jest dezaktywowany. Dodatkowo SFOS v22 dostarcza metryki sprzętowe SNMP, takie jak temperatura CPU i NPU, prędkości wentylatorów, status zasilacza od XGS 2100 oraz wartości mocy PoE dla wszystkich modeli XGS z PoE z wyjątkiem XGS 116(w). Plik MIB można pobrać bezpośrednio w UI. Interwały próbkowania i odpytywania należy dobrać tak, aby kluczowe łącza pozostały widoczne bez przeciążania kolektora.

Lepsza obsługa i funkcje wyszukiwania

Wraz z SFOS v22 interfejs powinien reagować znacznie szybciej. Podczas przełączania między menu i kartami nie trzeba już czekać, aż strona całkowicie się przeładuje.

W moich testach nie było czuć poprawy. Mimo to cieszy fakt, że Sophos pracuje nad szybkością interfejsu użytkownika. Nadal jest tu duży potencjał, zwłaszcza przy zapisywaniu reguł firewalla lub ładowaniu widoków interfejsów, gdzie wciąż występują zauważalne opóźnienia.

Interfejsy XFRM można teraz filtrować i przeszukiwać bezpośrednio w interfejsie. Przy dużej liczbie wpisów są one automatycznie dzielone na strony, co znacznie poprawia przegląd i zarządzanie dużymi konfiguracjami IPsec.

Także mniejsze ulepszenia są zauważalne w codziennej pracy: ustawienia serwera NTP są teraz domyślnie ustawione na „Use pre-defined NTP server”.

Funkcje zbliżone do UTM w SFOS

Dla wszystkich, którzy jeszcze nie przeszli z SG UTM na SFOS, wersja 22 przynosi brakujące funkcje. Należą do nich obsługa MFA w WAF, nowoczesne algorytmy OTP, takie jak SHA-256 i SHA-512, oraz logi Audit Trail z widokiem przed/po. Te rozszerzenia zamykają ważne luki względem dotychczasowego UTM i wyraźnie ułatwiają migrację. Kto więc nadal zwleka z przejściem, znajdzie w SFOS v22 prawie wszystkie znane funkcje - z nowoczesną technologią i lepszą integracją.

Logi Audit Trail w szczegółach

Faza 1 rejestruje każdą zmianę w regułach firewalla, obiektach i interfejsach. Logi można pobrać w menu Diagnostics > Logs; jasno pokazują one, co dokładnie zostało zmienione - wraz z wartościami przed i po zmianie. W przyszłych wersjach zmiany mają być wyświetlane bezpośrednio w Log Viewer, dzięki czemu różnice będzie można zobaczyć od razu bez eksportu. Ułatwia to identyfikowalność i oszczędza czas podczas analizy zmian.

Instant Web Category Alerts

Dla ograniczonych kategorii WWW można skonfigurować automatyczne powiadomienia. Informują one w krótkich odstępach czasu, na przykład co pięć minut, o próbach dostępu do zablokowanych stron. Każda wiadomość zawiera szczegóły, takie jak czas, użytkownik, kategoria i wywołana domena. Zapewnia to większą przejrzystość i ułatwia analizę, gdy ktoś wielokrotnie próbuje wejść na niedozwolone strony. Funkcja jest szczególnie pomocna w środowiskach z jasnymi zasadami, np. w szkołach lub organizacjach z ustalonymi regułami korzystania z Internetu. Naruszenia są automatycznie dokumentowane i w razie potrzeby można je odtworzyć.

Aktualizacja do SFOS v22: ścieżki, czas trwania i uwagi

SFOS v22 wprowadza głębokie zmiany w architekturze systemu. Dlatego firmware wymaga nieco więcej miejsca na partycji root. W przypadku większości urządzeń (około 98 procent) aktualizacja przebiega automatycznie i bez ingerencji. Modele od XGS 2100 mają już wystarczająco dużo miejsca i aktualizują się bezpośrednio.

W przypadku desktopowych modeli XGS i modeli wirtualnych z mniejszą partycją (1 GB) przestrzeń jest automatycznie powiększana podczas aktualizacji. W rezultacie proces trwa nieco dłużej, zwykle od dwóch do dziesięciu minut. Tylko nieliczne systemy - około trzech procent - wymagają ręcznego przygotowania, na przykład usunięcia starych raportów lub logów, aby zwolnić wystarczająco dużo miejsca.

Urządzenia ze starszym firmware’em SSD muszą go najpierw zaktualizować, zanim możliwa będzie aktualizacja do wersji 22. Bardzo stare instalacje wirtualne, które nadal korzystają z małych dysków lub starszych wersji SFOS (sprzed wersji 18), wymagają dodatkowych kroków. W niektórych przypadkach potrzebna jest najpierw aktualizacja pośrednia do wersji 21 MR2, zanim właściwa aktualizacja się powiedzie. Jeśli nośnik danych jest zbyt mały, pozostaje tylko nowa instalacja z większym dyskiem.

Wskazówki dotyczące wszystkich niezbędnych kroków pojawiają się automatycznie w interfejsie firewalla: przez komunikaty w Control Center, e-mailem oraz przez symbole ostrzegawcze w Sophos Central. Pokazują one również kod referencyjny, który prowadzi bezpośrednio do odpowiedniego artykułu w Knowledge Base. Po pomyślnym przygotowaniu ostrzeżenie znika w ciągu około godziny. Do diagnostyki dostępne są także dodatkowe polecenia CLI.

• Sophos KB: Wymagania i rozwiązanie dotyczące aktualizacji do SFOS 22.0 i nowszych

Wniosek

Sophos Firewall v22 przekonuje wyraźnie mocniejszą bazą bezpieczeństwa, modułową strukturą i stabilniejszą eksploatacją. Health Check to przemyślane narzędzie, które pomaga systematycznie sprawdzać konfiguracje i trzymać się dobrych praktyk. Nowy Control Plane zapewnia płynniejsze aktualizacje i większą niezawodność w bieżącej pracy. Nowoczesne protokoły i rozszerzona telemetria sprawiają, że analiza i troubleshooting są znacznie wydajniejsze.

Cieszymy się z wyraźnego postępu w Sophos Firewall v22, ale nadal chcielibyśmy, aby Sophos popracował nad klonowaniem i grupowaniem reguł NAT - tak jak znamy to z reguł firewalla. Około rok temu zebraliśmy i opublikowaliśmy nasze życzenia. Od tego czasu wiele się poprawiło, ale z naszej perspektywy nadal brakuje kilku funkcji. Mamy nadzieję, że zostaną wdrożone w kolejnych wersjach.

FAQ

Dalsze linki

• Avanet: Threat Intelligence Feeds dla Sophos Firewall
• Sophos News: Sophos Firewall v22 Early Access
• Sophos Community: Ogłoszenia SFOS v22 EAP

Źródła

1. Sophos Firewall OS v22 Kluczowe nowe funkcje
2. Sophos Firewall v22 is now available in early access, Sophos News
3. Sophos Firewall v22 EAP is Now Available, Sophos Community, 15.10.2025,