Conectar o Sophos Firewall ao Sophos Fusion

Não é obrigatório conectar um Sophos Firewall ao Sophos Fusion (anteriormente Sophos Central). Um único firewall pode ser gerido completamente de forma local através do WebAdmin. No entanto, a conexão com o Sophos Fusion é vantajosa em muitos ambientes, pois disponibiliza funcionalidades adicionais de gestão, backup, relatórios e segurança.

Este artigo ajuda a decidir quando o Sophos Fusion é útil e quando a gestão local é suficiente.

O nome atual da plataforma é Sophos Fusion, anteriormente Sophos Central. Os menus, botões e o alerta de registo da firewall ainda podem usar Sophos Central; ao seguir o procedimento, respeite os nomes apresentados na interface. Uma firewall gerida centralmente também pode ser integrada como gateway ZTNA para acesso a recursos internos. O registo, por si só, não configura esse gateway nem concede acesso a esses recursos; planeie separadamente a implementação de ZTNA e a respetiva política de acesso.

Resposta Rápida

Se apenas um único Sophos Firewall for gerido localmente e não se pretender utilizar as funcionalidades do Central, o Sophos Fusion não é necessário.

O Sophos Fusion oferece vantagens significativas quando se gerem vários firewalls, se pretende analisar logs centralmente ou armazenar backups de configuração na nuvem, ou se utilizam outros produtos Sophos, como o Sophos Endpoint.

A decisão não deve limitar-se a conectar ou não conectar. É mais importante decidir que funcionalidades do Central devem realmente ser ativadas. Um firewall pode estar registado no Sophos Fusion sem que todas as funcionalidades de gestão, relatórios ou backup sejam utilizadas ativamente.

Zero Touch: implementação com um ficheiro de configuração

Além da gestão de firewalls existentes, o Sophos Fusion também disponibiliza Zero Touch: é possível instalar novas firewalls com um ficheiro de configuração Zero Touch. Para isso, é necessária uma conta Sophos Fusion; a interface pode continuar a chamar-se Sophos Central. Esta opção é relevante para o planeamento de instalações em novos locais quando se pretende preparar a implementação através do Central. Não é o mesmo que o acesso remoto posterior ao WebAdmin ou a distribuição de uma política de grupo.

Antes de escolher o método de implementação, confirme o tenant previsto, os administradores responsáveis e as respetivas permissões, o dispositivo e o número de série, as necessidades de licenciamento e a ligação à Internet. Para a gestão posterior através do Central, continua a ser necessária uma ligação IPv4 funcional; os requisitos de licenciamento descritos neste artigo continuam a aplicar-se. Zero Touch não é um requisito para o funcionamento local nem um método de reparação de uma firewall já em produção.

Distinga claramente as tarefas:

• Nova instalação com Zero Touch: O ficheiro de configuração destina-se à implementação de uma nova firewall. Esta visão geral descreve a funcionalidade, mas não fornece instruções completas para criar ou aplicar o ficheiro. Planeie este método antes da instalação; não deduza um procedimento Zero Touch a partir dos passos de OTP apresentados abaixo.
• Configuração local, claim e licenças: Configurar o Sophos Firewall, efetuar o claim e ativar licenças descreve a configuração local básica, a associação ao tenant através do claim e a ativação ou sincronização de licenças como tarefas separadas. Estas tarefas não devem ser equiparadas ao registo para gestão.
• Ligar uma firewall existente: O método por OTP descrito mais abaixo pressupõe uma firewall configurada e associada por claim ao tenant correto. O OTP regista-a para Central Management, mas não substitui o claim nem a ativação de subscrições. A atribuição da firewall a um cliente por um parceiro também não substitui o claim.
• Gerir várias firewalls em conjunto: Utilizar Sophos Fusion Firewall Groups em segurança explica as políticas comuns e os efeitos de Full Sync. A gestão de grupos é uma tarefa operacional distinta, não o método de instalação Zero Touch.

Vantagens da Conexão com o Sophos Fusion

Visão Geral Centralizada

No Sophos Fusion, os firewalls registados são visualizados centralmente num único local. Isto é especialmente útil quando se gerem múltiplos locais ou appliances da mesma organização.

Vantagens típicas:

• Visão geral do estado dos firewalls
• Números de série e informações de licença
• Estado do firmware e da segurança
• Relatórios centralizados
• Troca rápida entre múltiplos firewalls

Gestão através do Sophos Fusion

Com Manage from Sophos Central, pode-se aceder à gestão do firewall através do Sophos Fusion. Isto é frequentemente mais seguro do que publicar diretamente a WebAdmin Console na Internet.

O acesso à gestão não substitui uma estratégia administrativa bem definida. Contas de administrador, MFA, funções, Device Access e regras ACL devem continuar a ser configuradas conscientemente. Segundo a Sophos, o Central Firewall Management também requer uma subscrição paga ativa diferente de Base Firewall ou uma licença de suporte Sophos ativa que dê direito a esta função, como Enhanced Support. A licença Base Firewall por si só não basta; nem todos os contratos de suporte conferem automaticamente este direito.

Um ponto técnico é frequentemente ignorado: o Sophos Fusion só consegue gerir firewalls se a firewall aceder à Internet através de IPv4. Em ambientes IPv6-only ou fortemente segmentados, este caminho deve ser verificado antes da ativação.

Se as alterações através do Central não chegarem ao firewall como esperado, deve-se verificar adicionalmente a Sophos Fusion Firewall Management Task Queue. Lá, pode-se ver se as políticas de grupo ou tarefas de firewall baseadas em API estão pendentes, falharam ou foram ignoradas.

Utilizar Sophos Fusion Firewall Groups em segurança explica como várias firewalls recebem uma política comum e o que Full Sync e Skip full sync fazem realmente.

Para vários locais, o Central também pode orquestrar ligações VPN baseadas em rotas, interfaces XFRM, rotas e regras. Configurar e verificar um grupo de ligações SD-WAN no Sophos Fusion explica o planeamento, a resolução de conflitos e a validação local.

Limites do Central Firewall Management

O Central Firewall Management é uma via adicional de administração, mas não substitui totalmente a gestão local da firewall, os logs locais nem um acesso de emergência testado. Especialmente com vários administradores, grupos de firewalls e clusters HA, é importante conhecer os principais limites para não confundir comportamento normal da plataforma com erro de configuração.

Observações típicas durante a operação:

• Dois administradores abrem a mesma firewall através do Central ao mesmo tempo: Só pode estar ativa uma sessão do Central Manager por firewall. Se um segundo administrador assumir a sessão, o primeiro pode ver a interface a carregar ou um erro de ligação. Coordenar o acesso entre administradores, fechar sessões paralelas e validar diretamente no WebAdmin local.
• Uma função read-only ou helpdesk não vê firewalls agrupadas: Testar as funções no Central com contas reais antes da utilização operacional. Algumas vistas ou funções de grupo não estão visíveis para todas as funções.
• Pares HA aparecem duplicados ou em várias páginas: Pode tratar-se de um problema de apresentação ou paginação. Para tomar decisões, verificar também o estado HA local na firewall.
• Regras de firewall não podem ser movidas ao nível do grupo como localmente: Nem todas as ações do WebAdmin local estão disponíveis da mesma forma nos grupos do Central. Após alterações de grupo, validar localmente a ordem das regras e o respetivo efeito.
• Grupos importados ou regras WAF comportam-se de forma inesperada no Central: Após a importação de configuração, Full Sync ou a importação de regras WAF, verificar a vista Central, a firewall de destino e a Task Queue.

Na prática: após alterações no Central, verificar a Task Queue, a vista WebAdmin local, o Log Viewer e, se necessário, o Audit Trail. Se a interface Central ficar apenas a carregar, um par HA aparecer duplicado ou uma regra de grupo não puder ser movida, isso não é automaticamente um problema da regra de firewall. Após alterações de grupo, tarefas de firmware, ajustes WAF ou trabalhos HA, verificar também localmente as regras, os serviços, o estado HA, os logs e as ligações afetadas.

Backups de Configuração no Sophos Fusion

O firewall pode enviar backups de configuração para o Sophos Fusion. Isto é útil quando um appliance precisa de ser substituído ou restaurado e os backups locais não estão disponíveis.

No Sophos Fusion, pode-se configurar backups agendados para firewalls registados. Os intervalos disponíveis são Daily, Weekly e Monthly. Assim, pode-se definir, por exemplo, que firewalls selecionados enviem um backup de configuração diariamente, semanalmente ou mensalmente para o Sophos Fusion.

A documentação atual da Sophos sobre backups indica Global Settings > Products and Services > Firewall > Schedule Backup para o agendamento. Se o caminho Firewall Management > Backup apresentado na captura não estiver disponível na sua interface, utilize este acesso.

O Sophos Fusion não conserva indefinidamente todos os backups automáticos. Por predefinição, são mantidos os cinco backups mais recentes e os mais antigos são descartados. Um backup também pode ser marcado para conservação permanente. Em clusters HA, Primary e Auxiliary aparecem no agendamento de backup, mas segundo a Sophos só é gerado o backup do dispositivo Primary.

Para a operação, dois detalhes são importantes: o Sophos Fusion tenta criar o backup até cinco vezes e, em caso de falha permanente, gera um alerta e um e-mail para o Sophos Fusion Admin. Se um firewall for removido do Sophos Fusion Management, o Sophos Fusion elimina os ficheiros de backup associados. Os backups na nuvem são, portanto, úteis, mas não substituem uma estratégia própria de backup e restauro.

Ainda assim, não se deve confiar apenas num único método de backup. Para sistemas em produção, backups locais ou externos regulares continuam a ser recomendados. Também são importantes a palavra-passe de backup e a Secure Storage Master Key.

Central Firewall Reporting

Com o Central Firewall Reporting, o firewall envia dados de logs e relatórios para o Sophos Fusion. Isso permite que relatórios sejam analisados por períodos mais longos e pesquisados centralmente.

No Sophos Fusion, estão disponíveis dashboards, o Report Hub, o Report Generator, templates guardados e exportações agendadas. Pode-se criar relatórios para firewalls individuais ou múltiplos, filtrar períodos, procurar eventos específicos e exportar resultados como PDF, CSV ou HTML. Para análises regulares, os relatórios podem ser agendados e disponibilizados automaticamente.

Segundo a Sophos, guardar modelos, agendar exportações e descarregar relatórios exige uma licença Central Firewall Reporting Advanced. Para relatórios de várias firewalls, todas as firewalls selecionadas devem ter a licença adequada.

Templates de relatório típicos são:

• Antivirus
• Bandwidth usage
• Cloud app risks and usage
• Firewall
• IPS
• Log viewer and search
• SD-WAN
• SD-WAN SLA trend
• SD-WAN bandwidth usage
• Security posture assessment
• Synchronize app
• Threat geo activity
• Threats and events blocked
• VPN usage
• Web usage
• Web user risks
• X-Ops
• Zero-day protection

A duração de retenção depende da licença:

• Subscrição de Firewall Ativa: Até 7 dias — para relatórios básicos e revisões curtas
• Xstream Protection / Central Orchestration: Até 30 dias — dependendo do pacote e dos direitos de licença
• Central Firewall Reporting Advanced: Até 365 dias — 100 GB de armazenamento adicional por licença

A ativação exata e a seleção de logs são descritas no artigo detalhado Ativar Central Firewall Reporting.

Synchronized Security e Security Heartbeat

Quando o Sophos Endpoint e o Sophos Firewall são operados conjuntamente através do Sophos Fusion, pode-se utilizar o Synchronized Security. Neste caso, o firewall e o endpoint trocam informações de segurança.

Exemplos:

• O firewall vê o Security Heartbeat dos endpoints.
• Dispositivos com heartbeat vermelho podem ser automaticamente restringidos.
• A visão de rede e endpoint é melhor interligada.
• Em incidentes, é rapidamente visível qual utilizador ou dispositivo está afetado.

Esta é uma das maiores mais-valias quando, além do firewall, também se utiliza o Sophos Endpoint, MDR ou XDR.

O Security Heartbeat também pode transmitir à firewall a identidade de domínio Windows de um endpoint gerido. Configurar Synchronized User ID Authentication descreve como realizar um piloto seguro, configurar a regra e verificar o comportamento em HA.

Validar o Security Heartbeat após o registo

O facto de o firewall estar visível no Sophos Fusion ainda não comprova que o Security Heartbeat funciona para os endpoints. São necessários uma conta Sophos Fusion, pelo menos um endpoint gerido pelo Sophos Fusion com uma licença de avaliação ou completa e uma subscrição Network Protection válida no firewall. Durante o registo, o SFOS ativa automaticamente o Security Heartbeat e o Synchronized Application Control.

Um único endpoint piloto gerido é adequado para uma primeira validação controlada:

1. Em System > Sophos Central, verificar se o firewall está registado e se o Security Heartbeat está ativo.

2. No Sophos Fusion, em My Products > Firewall Management > Firewalls, confirmar o alerta A new firewall has been successfully registered to Sophos Central. Este alerta comprova o registo, mas ainda não o efeito de uma regra.

3. Para o endpoint piloto no Sophos Fusion, verificar o tenant, o estado de integridade atual e os eventos do mesmo período.

4. Em Control Center > User & device insights > Security Heartbeat, verificar se o contador Connected reflete de forma plausível o estado esperado do endpoint piloto. Segundo a Sophos, a vista detalhada permanece vazia quando todos os endpoints estão verdes; apenas os endpoints vermelhos e amarelos são listados individualmente.

5. Verificar a regra de firewall efetivamente aplicada ao fluxo e os requisitos mínimos de heartbeat da origem e do destino em Configure Synchronized Security Heartbeat. A visibilidade do estado, por si só, não comprova uma restrição de acesso por essa regra; é necessário validar as opções da regra e o fluxo real. A Sophos documenta que, mesmo com Block clients with no heartbeat selecionado, uma exceção para verificações de política em Web > Exceptions pode permitir os pedidos web abrangidos.

6. Só depois de estabelecer esta referência inicial, ativar uma condição de heartbeat numa regra piloto com âmbito restrito, ativar o logging e testar tráfego permitido com um endpoint saudável.

Contradição na documentação da Sophos: A visão geral do Security Heartbeat para SFOS 22 e 23 afirma, na secção sobre VPN, de forma genérica, que, no estado Missing, todo o tráfego desse endpoint é bloqueado pela firewall. A descrição detalhada do Heartbeat, por outro lado, faz depender o efeito sobre o acesso das regras e menciona expressamente a exceção para verificações de política em Web > Exceptions: os pedidos web abrangidos não são bloqueados, mesmo com Block clients with no heartbeat. Estas afirmações não são compatíveis entre si enquanto garantia geral de isolamento. Para uma validação segura, verifica-se, por isso, a regra efetivamente aplicada, os requisitos mínimos separados de Source heartbeat e Destination heartbeat, as exceções aplicáveis e o resultado real do acesso. A indicação Missing, por si só, não comprova o isolamento completo.

Não se deve gerar um estado vermelho para este teste desativando ou manipulando a proteção do endpoint. Se os estados apresentados no Central e no Control Center não forem coerentes com o efeito da regra, ou se aparecer Missing, analisar sistematicamente os alertas Missing Heartbeat com base na zona, no caminho, no Rule ID e nos logs.

Para a vista mais abrangente Control Center > User & device insights, consulte Avaliar User & Device Insights em segurança. O artigo explica os contadores de Heartbeat e aplicações, as deteções de Zero-Day, o UTQ, os erros SSL/TLS e as sessões de firewall, incluindo os diferentes períodos de análise e a distinção entre ocultar um erro e alterar uma política de desencriptação. Estes indicadores locais não equivalem ao Central Reporting nem comprovam que todos os endpoints ou ligações estão protegidos.

Definir o âmbito de monitorização do Heartbeat e verificar o caminho

Em System > Sophos Central > Optional configurations > Missing heartbeat zones, selecione apenas as zonas onde se esperam endpoints Sophos geridos. A deteção de heartbeats em falta só ocorre nas zonas selecionadas; impressoras, convidados, dispositivos IoT e clientes com outro EDR não passam a ter Sophos Heartbeat através do registo. A lista de zonas e as condições de heartbeat das regras de firewall correspondentes devem estar alinhadas. A Sophos documenta um caso especial: se uma política de heartbeat bloquear uma zona, mas nenhuma zona estiver adicionada neste campo, o widget do Control Center pode continuar a mostrar Missing. Uma lista vazia não comprova, portanto, que nenhuma política esteja a afetar o tráfego.

Antes de alterar o âmbito ou uma regra piloto, registe a lista original de zonas, o Rule ID, as opções de heartbeat e o IP, MAC e estado atual do endpoint piloto. Aplique apenas a alteração restrita prevista. Depois, compare o mesmo endpoint no Central e no Control Center, gere um fluxo de teste autorizado com o endpoint saudável e verifique no Log Viewer o Rule ID correspondente e o resultado do acesso. Se o acesso mudar de forma inesperada, restaure a lista de zonas e as opções da regra registadas, repita o mesmo fluxo e investigue o caminho, em vez de reduzir globalmente os requisitos de heartbeat.

O canal de Heartbeat documentado utiliza TLS encriptado para 52.5.76.173 na porta TCP 8347. O Central fornece certificados que permitem à firewall associar os endpoints à organização correta; uma porta aberta, por si só, não estabelece essa confiança. Verifique estes limites de topologia antes de diagnosticar um estado em falta:

• Uma VPN estabelecida antes da ligação de heartbeat pode desviar esse tráfego da firewall local. Para Sophos Connect IPsec, verifique Remote access VPN > IPsec > Advanced settings > Send Security Heartbeat through tunnel de acordo com a política de ligação prevista.
• Atrás de um router intermédio sem NAT, um endpoint pode continuar a partilhar o estado de integridade, mas a firewall não consegue detetar um heartbeat em falta. A presença de um estado de integridade não comprova que a monitorização de Missing funciona nesse caminho.
• Atrás de um gateway NAT, os endpoints não conseguem partilhar o estado de integridade com a firewall. Esta limitação é diferente da do cenário com encaminhamento sem NAT.
• Em modo TAP, os endpoints devem conseguir alcançar pelo menos uma interface da zona LAN continuamente ligada à rede. O tráfego espelhado, por si só, não basta: os endpoints recebem os endereços das interfaces LAN através do Central e tentam enviar o heartbeat para um deles.

Interpretar o estado de integridade sem assumir isolamento automático

Connected (green) é o estado saudável comunicado pelo endpoint, não uma garantia de que todas as ameaças foram excluídas. Warning (yellow) pode indicar uma PUA, malware inativo ou já eliminado, ou assinaturas que não são atualizadas há 24 horas. At risk (red) exige investigação, por exemplo devido a malware ativo que não foi possível remover, tráfego de rede malicioso ou proteção que não está a funcionar corretamente. Missing (red) é diferente: a firewall vê tráfego, mas não recebe o estado de integridade correspondente. Compare os eventos do endpoint antes de tratar os dois estados vermelhos como o mesmo incidente.

A vista detalhada dos estados vermelho e amarelo apresenta o nome do host, IP, utilizador e tempo decorrido desde a alteração de estado. Uma entrada Missing pode permanecer no Control Center e nos relatórios depois de o endpoint sair da rede; muda quando o endpoint volta a ligar-se. Não elimine essa entrada apenas para deixar o dashboard verde. O guia de Missing Heartbeat referido acima explica a recolha de evidências, os compromissos na definição dos temporizadores, o comportamento suportado de Modern Standby e a limpeza com âmbito restrito. Os endpoints enviam o heartbeat a cada 15 segundos; a distribuição das listas de endpoints vermelhos e amarelos a cada 30 segundos e o tempo limite predefinido de 60 segundos para deteção de Missing são mecanismos separados. Aumentar os atrasos de deteção ou comunicação também pode atrasar alertas reais.

A proteção contra movimento lateral é outro controlo separado: os outros endpoints só deixam de comunicar com um endpoint vermelho quando se aplica a política de endpoint correspondente no Central. A firewall partilha endereços MAC e estados de integridade como proxy de camada 2 dentro do mesmo domínio de broadcast. Não assuma que isto isola endpoints entre redes encaminhadas ou substitui as condições de heartbeat no tráfego que passa pela firewall.

A visão geral de SFOS 22 descreve a identidade de utilizador sincronizada com nome de domínio, nome de utilizador e Active Directory. A visão geral de SFOS 23 documenta adicionalmente User Principal Name (UPN) e a validação da conta através de Active Directory ou Microsoft Entra ID. Não aplique essa descrição de SFOS 23 a uma implementação de SFOS 22 nem assuma que o registo, por si só, configura a autenticação de identidade; verifique o firmware efetivo e a configuração do servidor de autenticação antes de utilizar regras baseadas na identidade.

O que o Sophos Fusion não substitui

O Sophos Fusion é útil, mas não substitui uma configuração de firewall bem feita.

O Central não substitui:

• Planeamento adequado de zonas e interfaces
• Regras de firewall restritivas
• Endurecimento do Device Access
• MFA para administradores e portais
• Resolução de problemas local com Log Viewer e Packet Capture
• Backups documentados e testes de restauro
• Um sistema Syslog externo, se a conformidade ou retenção prolongada for exigida

O Sophos Fusion é, portanto, uma camada adicional de gestão e relatórios, mas não um atalho para uma configuração básica segura.

Verificar antes do registo

Antes de conectar ao Sophos Fusion, deve-se esclarecer brevemente o que se pretende alcançar com o registo. Isso evita responsabilidades pouco claras, tenants duplicados ou serviços desnecessariamente ativados mais tarde.

Perguntas importantes a considerar:

• Em que tenant do Sophos Fusion o firewall deve ser registado?
• Quem tem no tenant os direitos necessários para Firewall Management, Reporting, Backup e licenciamento?
• O firewall já está registado noutra conta Central?
• O firewall tem uma subscrição paga ativa diferente de Base Firewall ou uma licença de suporte Sophos ativa que inclua Central Firewall Management, como Enhanced Support? Verificar a licença concreta, não apenas a existência de um contrato de suporte.
• O firewall tem uma ligação IPv4 funcional à Internet?
• O Central deve ser usado apenas para visão geral de licenças e inventário ou também para gestão, reporting e backups?
• São usados grupos de firewalls, e as funções Admin, Helpdesk e Read-only foram testadas na prática?
• Os logs do firewall podem ser enviados para o Sophos Fusion do ponto de vista de proteção de dados ou conformidade?
• Existe um backup local atual e uma Secure Storage Master Key documentada?
• Está claro quem verifica alertas, relatórios e tarefas falhadas após o registo?

Se o firewall já estiver na conta errada, deve-se primeiro verificar Transferir Sophos Firewall para outra conta Sophos Fusion. Para a classificação das várias contas e portais, consulte Portais Sophos: SophosID, Central, Suporte e Acessos ao Firewall.

Quando não é necessário conectar o firewall

Não é necessário conectar ao Sophos Fusion se:

• Apenas um único firewall é gerido localmente
• Não são necessários relatórios Central
• Não está planeada a integração com o Sophos Endpoint
• A gestão na nuvem não é desejada por razões organizacionais
• Os logs já são enviados para um SIEM próprio ou um servidor Syslog

Nesses casos, pode-se operar o firewall localmente. É importante, no entanto, organizar adequadamente backups, atualizações de firmware, monitorização e logging de outras formas.

Quando o Sophos Fusion é recomendável

O Sophos Fusion é especialmente recomendável se:

• Múltiplos firewalls são geridos
• Administradores trabalham de diferentes locais
• Os firewalls não devem ser acessíveis diretamente através do WebAdmin a partir da Internet
• Os backups de configuração devem ser armazenados centralmente
• É necessário o relatório de firewall
• Sophos Endpoint, MDR, XDR ou outros produtos Sophos Fusion estão em uso
• Security Heartbeat e Synchronized Security devem ser utilizados

Ativar a Conexão

A conexão é configurada no firewall em System > Sophos Central.

Os procedimentos seguintes utilizam os nomes em inglês dos elementos da interface documentados para SFOS 22 e SFOS 23; a interface local pode ainda apresentar Sophos Central. Um administrador local da firewall precisa de acesso a este menu. O Central Firewall Management continua a exigir uma subscrição paga ativa diferente de Base Firewall ou uma licença de suporte Sophos ativa que inclua este direito, como Enhanced Support. Base Firewall por si só não basta e o caminho de gestão pela Internet funciona apenas por IPv4.

Antes de gerar um OTP: O firewall tem de estar já configurado e associado por claim ao tenant Sophos Fusion previsto. Se a configuração ou o claim ainda não estiverem concluídos, seguir primeiro Configurar o Sophos Firewall, efetuar o claim e ativar licenças e verificar a atribuição do dispositivo e das licenças. O registo posterior por OTP liga o firewall existente ao Central Management; não reivindica a propriedade nem ativa subscrições. A atribuição do firewall a um cliente por um parceiro também não substitui o claim.

Existem dois métodos típicos de registo:

• OTP a partir do Sophos Fusion: útil quando um parceiro, equipa de projeto ou administrador de firewall não deve usar credenciais Super Admin do tenant Central no firewall. No Sophos Fusion, o firewall existente é adicionado em My Products > Firewall Management > Firewalls > Add Firewall pelo número de série e é gerado um OTP.
• Credenciais do Sophos Fusion: útil quando o registo é feito diretamente no firewall com uma conta de administrador Sophos Fusion adequada. A Sophos chama isto Central Super Admin.

Em pares HA, é preciso trabalhar com cuidado. No registo por OTP, ambos os números de série são introduzidos no Sophos Fusion; em novos pares HA, o OTP é usado no dispositivo Primary.

Gerar um OTP no tenant correto

Para uma firewall já configurada e associada por claim, gere o OTP no Central antes de passar aos passos de registo local:

1. Inicie sessão no tenant previsto. Um parceiro deve primeiro atribuir a firewall ao cliente correto no Partner Dashboard e abrir a consola Central Admin desse cliente. A atribuição ao cliente não substitui o claim.
2. Abra My Products > Firewall Management > Firewalls > Add Firewall e selecione Join a firewall that is configured or deployed.
3. Em Enter Device Serial Number, introduza o número de série previsto e clique em Next. Para HA, introduza ambos os números de série separados por uma vírgula e confirme que correspondem ao par planeado.
4. Mantenha Register using OTP selecionado e escolha Copy OTP and Finish. O OTP é válido por 14 dias. Partilhe-o apenas com o administrador autorizado da firewall através do canal aprovado para partilha de segredos; não inclua o OTP, palavras-passe ou capturas de ecrã com credenciais visíveis num pedido de suporte.
5. Na firewall, selecione Register > Use OTP, cole o código em Enter OTP e clique em Register. Para um novo par HA, introduza o OTP apenas no dispositivo primary. Depois, ative os serviços Central pretendidos e obtenha a aprovação dos serviços descrita abaixo.

Se o OTP tiver expirado ou o registo falhar, verifique primeiro o tenant previsto, o claim, os números de série e a conectividade IPv4. Quando necessário, obtenha um novo OTP no tenant correto; não cancele repetidamente o registo nem altere a propriedade para contornar o erro. Só se considera o registo aceite depois de os números de série e o estado dos serviços coincidirem nas duas vistas.

O procedimento alternativo com credenciais exige um Central Super Admin. Uma conta de administrador pertencente a um sub-estate do Central Enterprise não pode ser utilizada para este registo. Mantenha distintas a conta do tenant e a função de administrador local da firewall; o OTP permite ao administrador local efetuar o registo sem receber a palavra-passe de Super Admin do tenant.

Procedimento típico no firewall:

1. Iniciar sessão no firewall.
2. Abrir System > Sophos Central.
3. Selecionar Register.
4. Selecionar Use OTP ou Use email address.
5. Introduzir OTP ou credenciais do Sophos Fusion.
6. Concluir o registo.
7. Ativar Sophos Central services.
8. Selecionar os serviços pretendidos.

Dependendo da necessidade, estas opções podem ser ativadas:

• Use Sophos Central reporting / Send reports and logs to Sophos Central: envia dados de logs e relatórios para o Sophos Fusion.
• Use Sophos Central management / Manage from Sophos Central: permite acesso de gestão através do Sophos Fusion.
• Send configuration backup to Sophos Central: armazena backups de configuração no Sophos Fusion. Na prática, esta opção depende da configuração de Central Management e tem de ser aprovada no Sophos Fusion.

Devem ser ativadas apenas as funcionalidades que realmente serão utilizadas. Em ambientes com requisitos de proteção de dados ou conformidade, deve-se esclarecer previamente quais dados de log podem ser enviados ao Sophos Fusion.

Depois de ativar os serviços, uma conta com a função Super admin no tenant Sophos Fusion afetado deve aceitar os serviços no Sophos Fusion:

1. Iniciar sessão no Sophos Fusion.
2. Abrir My Products > Firewall Management > Firewalls.
3. Encontrar o firewall com Approval Pending.
4. Selecionar accept-services.
5. No firewall, verificar se o estado muda de Waiting for approval from Sophos Central para Managed ou ligado.

A alteração de estado pode demorar alguns minutos. Se a indicação não mudar imediatamente, não registar várias vezes. Primeiro verificar o estado do Central, a ligação à Internet, o DNS e a hora.

Se existir um filtro egress à frente da firewall, também devem estar acessíveis os serviços e portas Sophos de saída adequados para Central, reporting e backups.

Colocar um par HA sob gestão Central

Distinga os dois pontos de partida antes de alterar qualquer configuração. Registe ambos os números de série, versões de firmware, funções primary/auxiliary, estado HA local e estados dos serviços Central. Mantenha disponíveis backups de configuração atualizados, as respetivas palavras-passe, a Secure Storage Master Key e um acesso de administração local funcional. A formação de HA é uma alteração de manutenção separada, não um atalho para resolver problemas de registo; Planear e operar variantes de HA do Sophos Firewall explica a responsabilidade pela configuração, a sincronização e o plano de recuperação.

• Duas firewalls autónomas já são geridas centralmente: prepare o HA localmente utilizando a configuração prevista para o primary. Ambos os dispositivos devem executar a mesma versão de firmware. A Sophos documenta tanto Active-Active como Active-Passive; depois de formar o par, o Central deve apresentar um único par HA, não dois alvos de gestão independentes. Siga o procedimento de preparação de HA antes de permitir que a sincronização substitua a configuração do auxiliary.
• Existe um par HA, mas não é gerido centralmente: trabalhe no primary. A documentação específica de HA chama à vista de registo Central synchronization e à ação Register both HA devices. Depois do registo, ative a gestão Central e, junto à firewall primary no Central, selecione Approval Pending > accept-services com o Super Admin autorizado. Para o método OTP, utilize ambos os números de série e introduza o código apenas no primary, conforme descrito acima, em vez de registar cada nó de forma independente.

Aguarde alguns minutos e confirme que o Central apresenta um único par com um HA icon e os números de série previstos. Verifique localmente as funções primary/auxiliary e a sincronização, bem como o acesso de gestão e um fluxo de teste de produção autorizado. As alterações de configuração no Central aplicam-se a ambas as firewalls; a apresentação de um único objeto não comprova que apenas o primary é afetado.

Se a apresentação continuar separada ou duplicada, compare o estado HA local, ambos os números de série, o tenant, a aprovação dos serviços e a Task Queue antes de alterar o registo. Para reverter apenas a alteração de gestão, restaure os estados dos serviços Central registados e verifique o acesso local e o estado de integridade do HA. Não desfaça o par HA, não execute novamente o assistente de configuração nem force o cancelamento do registo pela CLI para corrigir a apresentação. Reverter a formação de HA exige o plano de recuperação HA aprovado separadamente; problemas de registo não resolvidos ou dúvidas sobre o âmbito dos nós devem ser encaminhados para o Sophos Support com os estados recolhidos.

Delimitar com segurança um registo bloqueado

Com Approval Pending ou Waiting for approval from Sophos Central, não se repete o registo nem se cancela prematuramente. Primeiro verificam-se o tenant e o número de série corretos, a aprovação por um Super admin do tenant afetado em My Products > Firewall Management > Firewalls, o acesso à Internet por IPv4, o DNS, a hora e os serviços de saída necessários. Em HA, ambos os números de série devem constar no Central e o OTP é introduzido no nó primary. Se o estado continuar bloqueado após as correções, guardam-se capturas das duas vistas de estado, a hora, os números de série e as funções HA para o Sophos Support.

Eliminar a configuração de Synchronized Security apenas como operação aprovada pelo suporte. A documentação de Device Console para SFOS 22 e 23 descreve system synchronized-security central_registration deregister para remover a configuração de Synchronized Security do Sophos Fusion ou Sophos Central quando esta bloqueia o registo ou o cancelamento do registo. O caso previsto aqui é uma firewall existente cujo registo continua bloqueado por Synchronized Security após as verificações anteriores, com essa causa confirmada pelo Sophos Support. Não se trata do cancelamento completo do registo do dispositivo através de Deregister na secção seguinte nem de uma limpeza da base de dados interna por SQL. O comando altera o estado; não é um diagnóstico apenas de leitura nem uma solução geral para Approval Pending.

Antes de qualquer execução, registe no pedido de suporte o tenant previsto e o atual, o dispositivo e o número de série, a versão exata de SFOS incluindo o build, o estado do registo, os serviços Central ativos, Security Heartbeat, Synchronized Application Control e as regras afetadas com o seu efeito atual. Em HA, inclua ambos os números de série, as funções primary/auxiliary, o estado de sincronização e o âmbito dos nós afetados expressamente confirmado. Teste e mantenha o acesso local autorizado ao WebAdmin e à consola, independente do caminho de gestão Central. Mantenha disponíveis um backup local atualizado, a respetiva palavra-passe e a Secure Storage Master Key.

Não executar sem aprovação específica para o build. O Sophos Support deve confirmar previamente que a eliminação da configuração é adequada ao caso, o impacto esperado no registo, nos serviços, no tráfego dependente de Heartbeat e em HA, e o procedimento de recuperação, incluindo o registo e as aprovações de serviços que forem necessários. A sintaxe documentada não garante serviços inalterados nem a reposição reversível do estado anterior; um backup, por si só, também não comprova esse caminho de recuperação. Se o impacto, o âmbito dos nós ou a recuperação continuarem pouco claros, suspenda a execução e mantenha o caso com o suporte. Não substitua a operação por alterações SQL nem por um cancelamento completo forçado.

Após uma operação expressamente aprovada, verifique segundo o plano do suporte o registo no tenant correto e ambas as vistas de estado, os serviços previstos e o acesso local independente. Verifique também Security Heartbeat com o endpoint piloto gerido, o reconhecimento de aplicações quando aplicável, o efeito das regras afetadas, o tráfego de produção, os logs e, em HA, as funções e a sincronização. Uma firewall novamente visível não basta para comprovar o sucesso. Perante resultados inesperados, recolha o estado e siga o plano de recuperação aprovado com o Sophos Support, em vez de repetir o comando.

Alterar serviços Central ou cancelar o registo

Desativar Security Heartbeat, Synchronized Application Control ou Sophos Central management não cancela o registo no Central. No entanto, os serviços não são independentes: desativar Security Heartbeat também desativa Synchronized Application Control, e os endpoints e a firewall deixam de trocar informações sobre o estado de integridade. Uma pausa do Heartbeat afeta, por isso, mais do que um serviço.

Antes da alteração, registam-se em System > Sophos Central os estados anteriores de ativação ou desativação tanto de Security Heartbeat como de Synchronized Application Control, além do estado do serviço afetado. Depois, desativa-se o serviço pretendido, guarda-se a alteração, verificam-se os estados dos serviços afetados e confirma-se que a firewall continua registada.

Para reverter, repõem-se o estado do serviço afetado e os dois estados documentados; um Super admin do tenant afetado aprova no Central quaisquer serviços que voltem a exigir aprovação. Verificam-se explicitamente Security Heartbeat e Synchronized Application Control em separado, sem assumir que ativar apenas Heartbeat restaura corretamente ambos. Se Heartbeat estava ativo, utiliza-se um endpoint piloto gerido para verificar o estado de integridade atual e o contador Connected correspondente no Control Center, como descrito acima. Se Synchronized Application Control estava ativo, verifica-se também o reconhecimento de aplicações em Applications > Synchronized Application Control com o endpoint piloto; Utilizar Application Control de forma direcionada explica o processo de validação adequado.

O cancelamento completo é uma etapa separada e planeada do ciclo de vida:

1. Criar um backup local atualizado e manter disponíveis a palavra-passe e a Secure Storage Master Key. Documentar tenant, números de série, serviços ativos, grupos de firewalls, tarefas pendentes, reporting e backups Central. Em HA, registar ambos os nós e funções.
2. Testar o acesso WebAdmin local com uma conta autorizada. Concluir tarefas Central pendentes ou documentar o estado e escolher uma janela de manutenção. Não usar os backups Central como único retorno, pois são eliminados quando a firewall é removida do Central Management.
3. Na firewall, abrir System > Sophos Central e selecionar Deregister. Não usar comandos não documentados da Device Console ou Advanced Shell como atalho.
4. Confirmar localmente que a firewall já não aparece gerida pelo Central. Em My Products > Firewall Management > Firewalls, verificar o estado do objeto; um objeto restante não equivale a um registo funcional. Depois verificar acesso local, tráfego de produção, logging e, em HA, estado do cluster.

Para reverter a alteração, regista-se novamente a firewall pelo fluxo normal de OTP ou super administrador, um Super admin do tenant afetado aceita os serviços necessários no Central e repetem-se os testes específicos. Se Deregister não estiver disponível, a operação ficar bloqueada ou o âmbito HA for incerto, não se força pela CLI. Os estados guardados devem ser enviados ao Sophos Support.

Verificar Após a Conexão

Após o registo, não se deve apenas verificar se o firewall é visível no Sophos Fusion. O mais importante é se os serviços ativados realmente funcionam e se as responsabilidades estão claras.

Verificações recomendadas após a conexão:

1. No Sophos Fusion, verificar se o modelo, o número de série e o estado da licença são apresentados corretamente.
2. No firewall, em System > Sophos Central, verificar se os serviços pretendidos estão ativos e ligados.
3. Se Manage from Sophos Central for utilizado, abra My Products > Firewall Management > Firewalls no Central e clique no nome da firewall para abrir a respetiva consola WebAdmin. Aguarde alguns segundos e verifique o acesso com a função de administrador prevista; mantenha disponível o acesso de administração local funcional durante o teste.
4. Se o relatório estiver ativo, verificar no Log Viewer e no Sophos Fusion se os eventos atuais estão a chegar.
5. Se os backups na nuvem estiverem ativos, configurar o backup agendado e documentar o último ponto de backup bem-sucedido.
6. Verificar alertas, funções e responsabilidades no Sophos Fusion.
7. Se as alterações forem distribuídas através do Central, verificar a Central Firewall Management Task Queue.

Especialmente com múltiplos firewalls, o registo deve ser incluído na documentação interna: tenant, número de série, localização, serviço Central ativo, retenção de relatórios, intervalo de backup e pessoa responsável.

Validar os serviços Central separadamente

Depois do registo, não se deve verificar apenas o estado global do Central. Os serviços individuais têm sintomas de erro diferentes e, por isso, precisam de testes de aceitação separados.

• Registo e inventário: o firewall aparece no tenant correto, e o número de série, modelo, licença e localização estão corretos.
• Manage from Sophos Central: o acesso através do Central funciona com a função de administrador prevista, sem que o WebAdmin fique desnecessariamente aberto a partir da WAN.
• Central Reporting: um evento gerado deliberadamente para validação aparece no Report Hub com a identificação correta do firewall, a hora e o ID da regra ou o tipo de log.
• Backups Central: um backup agendado ou manual termina com sucesso, e o intervalo, a palavra-passe e a Secure Storage Master Key estão documentados.
• Retenção de backups: os cinco backups Central mais recentes e um eventual backup guardado permanentemente são conhecidos. Em HA, está claro que o Primary gera o backup.
• Alertas de backup: backups Central falhados geram alertas e e-mails que são verificados por uma pessoa responsável.
• Central Tasks: depois de uma alteração no Central, a Task Queue é verificada até a tarefa terminar com sucesso ou ser escalada corretamente.
• Security Heartbeat: o Sophos Fusion mostra o estado esperado do endpoint piloto e o contador correspondente no Control Center é coerente. As restrições baseadas em regras só são testadas passo a passo depois de estabelecer esta referência inicial.
• Alertas e responsabilidade: está claro quem verifica regularmente tarefas falhadas, problemas de backup, lacunas de reporting e avisos de licença.

Esta separação evita um erro operacional típico: um firewall pode estar visível no Sophos Fusion enquanto o reporting, os backups ou as tarefas Central continuam a não funcionar corretamente.

Erros Comuns

Firewall está registado na conta Central errada

Isso acontece frequentemente em mudanças de prestadores de serviços, contas de teste ou múltiplas contas SophosID históricas. Neste caso, não se deve simplesmente tentar um segundo registo. Primeiro, esclarecer onde o firewall está atualmente, quem tem acesso ao tenant e se é necessária uma transferência de conta.

Gestão Central é confundida com WebAdmin local

Manage from Sophos Central é um caminho de acesso adicional. A WebAdmin Console local, os utilizadores administradores locais, MFA, Device Access e SSH continuam a ser controlos de segurança independentes. É especialmente importante que o WebAdmin não permaneça acessível a partir da WAN apenas porque a gestão Central ainda não foi testada.

A vista Central não é validada localmente

Para políticas de grupo, clusters HA, regras WAF e tarefas de firmware, o Central não deve ser tratado como a única fonte de verdade. O Central pode mostrar que uma alteração está planeada, aplicada ou visível. O que importa é se o firewall afetado processou a alteração e se o tráfego ou serviço real funciona depois.

Na prática: depois de alterações no Central, verificar a Task Queue, a vista local do WebAdmin, o Log Viewer e, se necessário, o Audit Trail. Se a interface Central ficar apenas a carregar, um par HA aparecer duplicado ou uma regra de grupo não puder ser movida, isso não é automaticamente um problema da regra de firewall.

Relatórios estão ativados, mas não chegam dados úteis

Deve-se primeiro verificar se Send reports and logs to Sophos Central está ativo, se os tipos de log apropriados estão ativados e se o firewall pode alcançar o Central. Depois, no artigo Ativar Central Firewall Reporting, verificar os pontos de detalhe sobre seleção de logs, retenção e relatórios.

Backup na nuvem é entendido como único backup

Backups Central são práticos, mas não substituem um planeamento completo de recuperação. Para locais críticos, deve-se também esclarecer onde estão os backups locais, quem conhece a palavra-passe de backup, se a Secure Storage Master Key está documentada e como seriam realizados um restauro ou uma reinstalação a partir de uma imagem.

Ninguém verifica Tarefas e Alertas Central

O Central só ajuda se as notificações e tarefas falhadas também forem tratadas. Especialmente com políticas de grupo, tarefas de firmware, relatórios e backups, deve-se esclarecer quem verifica os avisos e como os erros são escalados internamente.

Perguntas Frequentes