Sophos Firewall v21.5 MR1: Segurança e estabilidade em foco
Sophos Firewall v21.5 MR1 reúne inúmeras melhorias de segurança, estabilidade e fiabilidade. Além disso, inclui novidades direcionadas como OAuth 2.00 para notificações por e-mail, ajuste fino de NDR e hardening da alta disponibilidade.
Novas funções no SFOS v21.5 MR1
OAuth 2.00 para notificações por e-mail
As notificações por e-mail podem ser protegidas com OAuth 2.00 para Gmail e Microsoft 365. A autenticação por palavra-passe está a ser gradualmente eliminada. Vantagens: superfície de ataque reduzida, gestão central de tokens e acessos rastreáveis. A implementação é feita em Administração > Configurações de notificação. Para o Gmail é necessário registar uma aplicação na Google Cloud Console (Client ID, Client Secret). A firewall utiliza Refresh Tokens para autenticação persistente. Além disso, o OAuth 2.00 permite o uso de políticas, autenticação multifator e revogação central de tokens comprometidos. É aconselhável migrar os perfis SMTP com antecedência, realizar um envio de teste e configurar um servidor de e-mail de fallback; as políticas de MFA devem ser verificadas e documentadas.
Relatórios agendados localizados
Os relatórios PDF agendados são gerados no idioma usado no login no WebAdmin. Isto reduz o esforço de tradução e facilita a coordenação com áreas especializadas. Os relatórios tornam-se mais consistentes e podem ser usados em reuniões de gestão sem trabalho adicional.
NDR Essentials: Seleção de datacenter
A região de análise para NDR Essentials pode ser escolhida livremente. Por predefinição, é usada a região com a menor latência. Isto permite cumprir requisitos de residência de dados e compliance. Em setups multirregionais, a escolha correta é decisiva para evitar fluxos de dados indesejados. Faz sentido documentar a região escolhida, preparar uma eventual alteração planeada, ajustar a monitorização e considerar as diretrizes de proteção de dados.
NDR Essentials: Threat Score em logs ATR
O Threat Score aparece nos logs de Active Threat Response. Isto facilita a priorização, a correlação e o reporting em SIEM e XDR. Alertas baseados em pontuação permitem uma classificação mais fina de incidentes.
Syslog: device_name corresponde ao hostname
O campo device_name contém o hostname configurado da firewall. Isto facilita a atribuição de logs em ambientes com vários dispositivos. As integrações com XDR e SIEM tornam-se mais robustas.
Alta disponibilidade protegida
Palavras-passe fortes passam a ser obrigatórias; a geração automática deixa de existir. Além disso, a associação HA verifica a SSH Host Key do parceiro. Isto dificulta ataques Man-in-the-Middle e evita confusões entre clusters. Uma saída de erro melhorada ajuda no diagnóstico.
Modo LINCE em HA
LINCE é uma certificação de segurança estatal espanhola que define requisitos criptográficos mínimos. O modo LINCE impõe na firewall uma seleção permitida de algoritmos e comprimentos de chave e influencia, entre outras coisas, as definições de SSH e VPN. A ativação é feita via CLI e reinicia o serviço SSH. Em ambientes HA, o modo LINCE deve ser idêntico em ambos os dispositivos antes da configuração de HA. Ao restaurar backups de HA, o estado LINCE dos dispositivos de destino deve corresponder ao backup; caso contrário, a restauração é rejeitada ou o modo é ajustado.
Route-based VPN: XFRM-MTU automática
A firewall calcula automaticamente uma MTU ajustada para interfaces XFRM, subtraindo o overhead de IPsec. Objetivo: menos fragmentação e ligações TCP mais estáveis. O valor é ajustável. Após a atualização, convém verificar a MTU, ajustá-la especificamente ao provider se necessário e testar aplicações críticas.
Colunas de tabela personalizáveis
Muitas áreas na Sophos Firewall v21.5 MR1 suportam colunas com largura livremente ajustável, por exemplo Network, rotas SD-WAN, Gateways ou Local Service ACL. As larguras são guardadas no browser e retomadas em sessões futuras.
Vouchers Hotspot: Ordenar e filtrar
Os vouchers podem ser ordenados por data de criação e aparecem imediatamente no topo. Isto facilita a emissão e o controlo.
SNMP-MIBs: conformidade RFC melhorada
As MIBs estão mais alinhadas com as RFCs para SNMPv1, v2 e v3. Isto melhora a compatibilidade com ferramentas de monitorização e reduz erros de análise.
Utilizadores ao vivo: unidades de dados unificadas
Os volumes de dados são apresentados de forma uniforme em KB, MB e GB. Isto facilita comparações e reduz mal-entendidos.
Importação de grupos do AD e Entra ID
Ao importar grupos, L2TP e PPTP deixam de ser ativados automaticamente. O acesso remoto permanece explicitamente controlável. Isto evita superfícies de ataque indesejadas.
Active Directory SSO: Windows Server 2025
Single Sign-On passa a suportar Windows Server 2025 via NTLM e Kerberos. Isto facilita a integração em ambientes AD modernos e setups híbridos com Azure AD.
Hosts de sistema RED: /32 correto
Os objetos de host de sistema para RED passam a usar de forma consistente a máscara de sub-rede /32. Anteriormente, a máscara podia divergir da configuração definida durante a criação da interface. Se um RED System Host for usado em regras ou objetos para redes maiores, o tráfego pode deixar de corresponder após a atualização. Na prática, convém verificar as regras de firewall e objetos de host dependentes e, se necessário, mudar para objetos IP ou de rede adequados.
Compatibilidade e notas
- Compatibilidade SSL VPN: sem túneis para SFOS 18.5 e anteriores, Legacy SSL VPN Client ou UTM 9. Alternativas: upgrade, IPsec ou RED.
- Túneis Legacy RED Site-to-Site da geração antiga deixam de ser suportados a partir do SFOS 22. Recomenda-se a migração para túneis RED Site-to-Site ou IPsec suportados.
- Caminhos de atualização: observar os caminhos de migração oficiais. O Sophos Central pode planear e controlar upgrades.
- Antes de cada upgrade, criar um backup completo e preparar um plano de rollback.
Conclusão
Sophos Firewall v21.5 MR1 é uma maintenance release regular com pequenas melhorias e correções de bugs. Estabiliza a operação contínua e inclui correções de detalhe. Faz sentido migrar para OAuth 2.00 nas notificações por e-mail, selecionar conscientemente a região NDR e fazer uma breve verificação das definições de HA e Syslog. No geral, trata-se de ajustes incrementais para manter o ramo de lançamento atual. O próximo momento mais interessante deverá chegar no início de dezembro, quando o SFOS v22 for lançado.
Links relacionados
- Blog Avanet: Sophos Firewall v21.5
- Avanet KB: Atualização de Firmware do Sophos Firewall – Preparação e Melhores Práticas
- Avanet KB: Atualização do Firmware na Sophos Firewall (Firmware Update)
Referências
