Sophos Central Firewall Management – funcionalidades com o SFOS v18

A primeira ligação entre o firewall e o Sophos Central surgiu com a introdução do Synchronized Security. Pouco depois, surgiu o Sophos Central Firewall Manager. No entanto, o primeiro conjunto de funcionalidades era bastante limitado, o que tornava o produto apenas moderadamente atractivo numa fase inicial. Com o SFOS v18, o Central Firewall Manager foi agora significativamente expandido.

Informação: se quiser conhecer em detalhe todas as novidades da próxima versão do SFOS v18, pode consultar aqui o meu artigo completo: Sophos SFOS v18: novas funcionalidades em destaque

Central Firewall Management

Pessoalmente, considero o Sophos Central Firewall Manager (SCFM) uma ferramenta muito bem conseguida. Embora, neste momento, o conjunto de funcionalidades disponível ainda seja relativamente contido, a visão global da Sophos é bastante convincente. Para nós, a ferramenta é especialmente útil para manter uma visão de conjunto em clientes que possuem vários firewalls. No mundo UTM, esta função é assumida pelo Sophos UTM Manager (SUM); para o SFOS, pode ainda utilizar‑se o Sophos Firewall Manager. Na nossa perspectiva, porém, este último é apenas parcialmente adequado. Olhando para a evolução do SCFM, parece evidente que o clássico Sophos Firewall Manager será substituído a médio prazo.

Vejamos agora as principais funções de base e como começar a utilizar o Central Firewall Manager.

Ligar o firewall

Para utilizar as funções de gestão dos firewalls, é necessário uma conta Sophos Central. Esta conta pode ser criada gratuitamente e a própria gestão de firewalls também não tem custos adicionais. No backend do firewall, é possível registar‑se no Sophos Central através do menu «Central synchronization». O firewall fica então associado ao Central.

Management

Com o tempo, passa a existir na sua conta Central uma lista de todos os firewalls que adicionou. Com um clique no nome do firewall, inicia sessão automaticamente no backend desse equipamento e pode efetuar as configurações como habitualmente. O acesso através do Central é visivelmente mais lento do que uma ligação direta ao firewall, mas é bastante mais cómodo, já que não exige um início de sessão adicional. O firewall tem um endereço IP dinâmico? Não há problema. Como é o próprio firewall que estabelece a ligação ao Central, tudo funciona de forma fiável.

As funcionalidades disponíveis no Central Firewall Manager dependem da versão de firmware instalada em cada firewall. Algumas funções só são activadas a partir de uma determinada release.

Actualizações de firmware

Na vista geral dos firewalls, pode ver à primeira vista que versão de firmware está instalada em cada modelo. Com um clique em «Upgrade» e depois em «Upgrade Firmware», pode distribuir a versão mais recente disponível.

Não me canso de o repetir: utilize o botão de actualização sempre com a máxima cautela. Prepare a actualização cuidadosamente e informe‑se antecipadamente sobre as alterações introduzidas pela nova versão. Vemos, com frequência, actualizações de firewalls aplicadas de forma demasiado leviana. Com os nossos contratos de manutenção de firewalls, assumimos a gestão de patches dos seus firewalls e evitamos surpresas desagradáveis. 😎

Backup online

Com o Sophos Central Firewall Manager, é igualmente possível criar backups programados ou manuais da configuração do firewall. Em qualquer caso, é fortemente recomendável definir um conceito de backup adequado. Até agora, os backups podiam ser descarregados manualmente do firewall, guardados directamente num servidor FTP ou enviados por email.

Apesar destas opções, na prática continuam a surgir problemas precisamente quando um backup é efectivamente necessário. Entre as situações que encontrámos em clientes contam‑se, por exemplo:

• O endereço de email para o qual eram enviados os backups já não existia há algum tempo – os backups nunca chegavam, portanto, à caixa de correio.
• A protecção de email bloqueava as mensagens, por serem enviadas a partir de um IP dinâmico ou porque o registo SPF não estava configurado correctamente.
• Existia um backup, mas a palavra‑passe correspondente tinha sido esquecida ou não podia ser recuperada.
• Existia um backup, mas este estava já muito desactualizado.

Facilmente se encontram mais razões para que um backup seja inútil em caso de emergência. Muitos destes riscos são mitigados através do backup online no Central. Passa a dispor de um repositório central e cifrado para os seus backups no Sophos Central. Assim, estes mantêm‑se sempre actualizados e estão imediatamente disponíveis quando forem necessários.

Novas funcionalidades com a v18

As funcionalidades descritas acima estão disponíveis desde a versão 17.5. Nas secções seguintes, analisamos as novas capacidades introduzidas apenas com o SFOS v18.

Reporting

No passado, existia um produto Sophos autónomo para reporting centralizado: iView. Em rigor, o software ainda existe, mas, na prática, consideramos que um produto que não é desenvolvido há anos está, de facto, obsoleto. O facto de a Sophos ainda não o ter declarado oficialmente como tal não altera muito esta realidade. 😅 Para nós, o iView não tem futuro – mas a ideia subjacente continua viva no Central Reporting.

Ao activar o reporting no firewall, os dados de log são enviados para o Sophos Central. Com base nesses dados, podem ser gerados relatórios esclarecedores.

O Central Reporting para firewall encontra‑se actualmente ainda em fase beta. Mesmo assim, o estado actual já oferece uma excelente ideia do que se pode esperar da versão final.

Definições globais de firewalls

Em ambientes com muitos firewalls, a gestão torna‑se rapidamente complexa. Com cerca de dez firewalls, a administração pode geralmente ser feita ainda de forma relativamente manual, mas a partir de aproximadamente cinquenta sistemas torna‑se um desafio real. Com a v18, é possível agrupar firewalls de forma conveniente no Central.

Nas políticas de grupo, tem à disposição um interface de firewall conhecido, no qual pode definir e guardar definições centrais. Estas configurações são depois distribuídas por todos os firewalls pertencentes ao respectivo grupo.

Esta funcionalidade encontra‑se também ainda em fase beta, algo que ficou patente durante os testes. Ainda está um pouco distante de ser uma solução completamente madura e alguns detalhes permanecem em aberto. Em termos gerais, no entanto, estamos convictos de que as definições globais de firewalls se tornarão, no futuro, um apoio essencial na gestão de paisagens de firewall mais extensas.