Sophos Firewall OS (SFOS) Update v17.5 - MR3 lançado

A Sophos lançou a versão 17.5 MR3 do Sophos Firewall OS (SFOS). O novo firmware pode ser descarregado de imediato a partir do portal MySophos.

Nos próximos dias, o novo firmware também passará a estar disponível automaticamente no WebAdmin do firewall, podendo ser instalado com um simples clique.*

Nota: para mais detalhes sobre o processo de atualização, consulte: Sophos Firewall: How to upgrade the firmware.

*Desta forma mais cómoda só podem beneficiar os clientes que adquiriram o Sophos Enhanced Support. O Sophos Enhanced Support está incluído automaticamente em todos os bundles (EnterpriseProtect, EnterpriseGuard, TotalProtect, FullGuard), mas pode também ser adquirido em separado.

O que aconteceu à MR2?

O SFOS 17.5 MR2 foi lançado de forma discreta, exclusivamente para os testes do NSS Labs. O NSS Labs submeteu o XG Firewall a uma nova bateria de testes, para que agora, com a MR3, todas as instalações possam beneficiar das novas funcionalidades e correções.

Suporte APX

Quando a nova série de access points APX da Sophos foi apresentada, em julho de 2018, estes só podiam ser utilizados com o Sophos Central Wireless. Já nessa altura a Sophos tinha anunciado que o suporte para XG Firewall chegaria em dezembro de 2018. Hoje, com dois meses de atraso, os access points APX podem finalmente ser geridos também através do XG Firewall. 🎉

Testámos de imediato o suporte do XG Firewall com o nosso APX 740. Como até então o tínhamos a funcionar via Central, primeiro tivemos de remover essa associação. Depois disso, o access point apareceu logo no XG Firewall. A associação funcionou sem qualquer problema. 😅

Se utilizam um XG Firewall e precisam de novos access points, recomendamos que passem a considerar apenas a série APX. Para os firewalls SG com sistema operativo UTM, os modelos AP normais continuam disponíveis.

• Sophos APX 120 (Apenas para Sophos Central. O suporte para XG estava previsto para meados de 2019.)
• Sophos APX 320
• Sophos APX 530
• Sophos APX 740

Verificação de destinatários de email via Active Directory

Agora que o motor da UTM também corre no XG Firewall, as últimas funcionalidades em falta estão a ser gradualmente integradas no XG. No SFOS v17.5.3 é possível efetuar uma verificação de destinatários através de uma consulta ao Active Directory, verificando se a caixa de correio ou o endereço de email existe no servidor antes de a mensagem ser aceite.

Suporte Airgap

O Airgap é uma funcionalidade que já tinha sido anunciada com o SFOS 17.5. Com o Airgap, os XG Firewalls podem agora ser licenciados e atualizados em modo offline. Até aqui já era possível atualizar o firmware offline, mas as atualizações de padrões só são possíveis a partir desta versão.

Bridge interface - suporte para cliente DHCP

As interfaces de bridge podem agora obter endereços IPv4 e IPv6 e informações DNS através de DHCP.

Correções de bugs

• NC-29354 [API] Response for xmlapi get for SyslogServer is missing some value
• NC-29808 [API] API Authentication should be case insensitive
• NC-35920 [API] Wrong XML is generated for client-less users when username added with capital letter
• NC-30616 [Authentication] Guest username/id and passwords are changed after migration
• NC-33449 [Authentication] Group name showing under “undefined” during AD group import
• NC-35923 [Authentication] XML export of guest users contains wrong information of user validity
• NC-38607 [Authentication] Provide a JSON config download for GSuite in the XG UI
• NC-39026 [Authentication] Chromebook Support port is missing in port validation opcode
• NC-39106 [Authentication] Access_server is restarted due to missing service heartbeat
• NC-30365 [Base System] Fix error message for new firmware check on auxiliary device
• NC-37824 [Base System] SFM/CFM - at device dashboard AV version shows as 0
• NC-38546 [Base System] Fix log message for scheduled backup and update message
• NC-39177 [Base System] Garner - sigsegv_dump: Segmentation Fault
• NC-39179 [Base System] Customization of captive portal not working
• NC-39688 [Base System] Virtual firewall reboots after applying license
• NC-40157 [Base System] Garner service stopped with sigsegv_dump: Segmentation Fault
• NC-40268 [Base System] Not able to access HA device via Central Management
• NC-38469 [Email] Increase csc monitor time for avd service
• NC-38521 [Email] Add support for recipient verification via AD using STARTTLS
• NC-39827 [Email] Improve documentation for mail spool and SMTP policies
• NC-35434 [Firewall] csc worker gets killed causing errors in port forwarding
• NC-35521 [Firewall] Import of exported config does not recreate the device access permissions correctly
• NC-38318 [Firewall] XML change and revert details are not generated for “firewall group” entity when create firewall rule from SFM device Level
• NC-39316 [Firewall] Group edit fail when user edit existing group and new name have double space
• NC-39605 [Firewall] Modifying one time schedules fails, if timer has already triggered
• NC-40080 [Firewall] Improve UI and help for group creation based on EAP feedback
• NC-29296 [IPsec] Charon doesn’t reconnect in all cases
• NC-29365 [IPsec] IPSec tunnel fails when there are whitespaces at the begin or end of the PSK
• NC-30599 [IPsec] Checkboxes on IPSec UI pages do not work using Safari
• NC-38824 [IPsec] Spelling error in message when IPSec cannot be established
• NC-38946 [IPsec] Child SA going down randomly with Checkpoint IPSec connection
• NC-38603 [nSXLd] Custom URL web category list stopped working after updating to v17.1MR2
• NC-38958 [Reporting] Smart search filter is not working properly for “is not” filter in log viewer
• NC-39530 [Reporting] Logo is too close to the name of the report page
• NC-39770 [Reporting] ‘Context’ column getting removed after click on Reset to default for web content policy logs
• NC-39479 [Sandstorm] Dashboard message not correct for Single Scan Avira with Sandstorm
• NC-35750 [SecurityHeartbeat] Heartbeat widget not displayed on slave node when registered
• NC-38778 [SNMP] Unable to fetch the value for particular OID in SNMP server
• NC-35490 [Synchronized App Control] Application are not classified in Synchronized Application Control list
• NC-32342 [UI Framework] Restrict number of connection from particular IP at a particular time
• NC-39078 [UI Framework] Update Apache Commons Collections (CVE-2015-7501, CVE-2015-6420, CVE-2017-15708)
• NC-39081 [UI Framework] Update Apache Commons FileUpload (CVE-2016-3092, CVE-2016-1000031)
• NC-39910 [UI Framework] Policy Tester is not working via Central Management
• NC-38295 [WAF] WAF Rules not working after HA takeover
• NC-31388 [Web] URL Category Lookup doesn’t allow punycode-encoded domain names
• NC-31485 [Web] Skipping sandbox check is not being exported in the XML for WebFilterException
• NC-35585 [Web] Only 10 cloud applications are listed if the screen resolution is 2560*1440 or higher
• NC-36320 [Web] AppPolicy becomes DenyAll if all “characteristics” and any classification selected