Agendar e enviar relatórios da Sophos Firewall por e-mail

A Sophos Firewall pode enviar relatórios locais diariamente ou semanalmente em formato PDF. Para que o destinatário receba uma análise útil, e não apenas um ficheiro qualquer, o relatório é primeiro verificado manualmente e só depois agendado.

O processo fiável é curto:

1. Gerar manualmente o relatório pretendido com o período e o filtro corretos.
2. Se necessário, guardar a seleção como bookmark.
3. Criar um agendamento em Reports > Show report settings > Report scheduling.
4. Verificar o caminho de e-mail com Send test mail.
5. Gerar e enviar imediatamente o relatório com Generate now.
6. Verificar o PDF recebido quanto ao conteúdo, período, idioma e dados sensíveis.

Send test mail e Generate now não verificam o mesmo. A mensagem de teste confirma o transporte de e-mail. Só Generate now verifica adicionalmente se a firewall gera o relatório escolhido e o envia em PDF.

⚠️ Os modelos XGS 87/87w e XGS 88/88w não suportam On-appliance Reporting. Para estes modelos ou para uma análise central de várias firewalls, é mais adequado o Sophos Central Firewall Reporting no Sophos Fusion.

Verificar os pré-requisitos

Antes do agendamento, verificam-se seis fundamentos:

• Os relatórios locais funcionam: Em Reports, o período pretendido já contém dados plausíveis. Um agendamento não corrige logging em falta nem uma base de dados de relatórios vazia.
• O envio de e-mail funciona: O servidor de e-mail integrado ou externo e as definições necessárias de autenticação, segurança da ligação, remetente e destinatário estão configurados em Administration > Notification settings. O processo completo encontra-se em Configurar e testar notificações por e-mail no Sophos Firewall.
• A hora e o fuso horário estão corretos: Uma hora de sistema incorreta dificulta a seleção e verificação do período. A configuração é explicada em Configurar data, hora e NTP.
• Existe armazenamento local disponível: Os dados dos On-box Reports ficam em /var. Quando o limite de paragem é atingido, a firewall suspende o reporting. O estado, os limites de aviso e a retenção são explicados em Verificar espaço e gerir relatórios na Sophos Firewall.
• A retenção local corresponde à finalidade: Em Reports > Show report settings > Data management, os relatórios podem ser conservados durante um ano, no máximo. O período escolhido é contado retroativamente a partir do mês anterior e uma alteração entra em vigor às 00:00. Esta definição só se aplica aos relatórios, não aos logs nem aos PDF já entregues numa caixa de correio. A firewall elimina automaticamente os relatórios mais antigos. Antes de alterar o período de retenção, verificam-se por isso os requisitos de conformidade e conservação da organização.
• O destinatário e a finalidade estão definidos: Uma caixa funcional como firewall-reports@example.net costuma ser melhor do que um endereço pessoal. É necessário um Owner que verifique efetivamente os relatórios.

Um PDF pode conter utilizadores, endereços IP, endereços MAC, endereços de e-mail, URLs e eventos de segurança. Por isso, o grupo de destinatários deve ser pequeno, o transporte de e-mail deve ser cifrado e a retenção na caixa de correio deve ser considerada. Se for utilizada Data Anonymization para logs e relatórios, é necessário verificar no PDF realmente recebido se os dados esperados foram anonimizados.

Se o reporting parou por falta de espaço, não basta reduzir a utilização de /var para um valor ligeiramente inferior a 80 %. Tem de descer abaixo do limite de aviso, normalmente 70 %, para que a firewall volte a gerar relatórios. O limite de aviso é ajustável entre 50 e 75 %; o limite de paragem de 80 % é fixo. O Control Center apresenta avisos e alertas, e o Log Viewer também regista a descida abaixo do limite de aviso. As notificações por e-mail e SNMP no limite superior estão desativadas por predefinição: em System services > Notification list > Disk/Memory, ativar Reports disk usage exceeded threshold para os destinos necessários e guardar com Save. Depois, verificar o estado e os novos dados; receber um PDF antigo não prova que a geração foi retomada. O diagnóstico e a limpeza seguros continuam descritos no artigo de armazenamento já ligado.

Controlar globalmente Top Users nos relatórios PDF

O comando pouco explícito da Device Console system custom-feature controla se os relatórios PDF gerados também incluem Top Users. O interruptor é global e não tem parâmetros para relatório ou destinatário. Como a ajuda atual do SFOS 22 não indica um valor predefinido, consulta-se primeiro o estado existente:

system custom-feature show

Antes de qualquer alteração, registar a definição apresentada como estado inicial aprovado; é este que determina a reversão.

enable adiciona Top Users e disable volta a removê-los dos PDF gerados:

system custom-feature enable
system custom-feature disable

Antes de enable, verificam-se os destinatários, a retenção e Data Anonymization. Em seguida, utiliza-se Generate now para produzir um PDF real e confirmar se aparecem os utilizadores esperados e se as identidades sensíveis estão protegidas como previsto. O interruptor não cria uma atribuição de utilizador em falta e não corrige um problema de autenticação ou logging. Para a reversão, restaurar exatamente o estado inicial registado: system custom-feature enable se a função estava ativada, ou system custom-feature disable se estava desativada. Se já estava ativada, repetir enable não altera nada; não a desativar como suposta reversão. Depois, confirmar o estado inicial com system custom-feature show e verificar um novo PDF com Generate now: Top Users deve estar presente ou ausente conforme a definição guardada. A reversão não promete preencher retroativamente os dados em falta nem restaurar o histórico de relatórios perdido.

Preparar o conteúdo do relatório

No exemplo, um relatório IPS semanal deve mostrar os ataques detetados com maior frequência. Os nomes e valores são adaptados ao ambiente próprio.

1. Abrir Reports > Network & threats > Intrusion attacks.
2. Selecionar o intervalo de datas pretendido.
3. Se necessário, usar Filter para limitar a análise a sistemas, regras ou eventos relevantes.
4. Selecionar Generate.
5. Verificar se o período, as ocorrências e a ordenação correspondem à pergunta que se pretende responder.

A finalidade técnica deve poder ser explicada numa frase, por exemplo: «Todas as segundas-feiras, a equipa de segurança verifica as ocorrências IPS mais frequentes da semana anterior.» Esta afirmação ajuda a decidir que relatório, filtro e destinatário são realmente necessários.

Para os relatórios gerados, é possível selecionar opcionalmente um logótipo próprio (Custom logo), que é apresentado nos relatórios.

Escolher o grupo de relatórios adequado

Em Reports, escolher o grupo ou análise com Show e depois o intervalo de datas. Generate atualiza os dados, Filter restringe-os e Schedule abre o agendamento diretamente a partir da vista do relatório. A escolha deve responder à questão operacional, não apenas ao nome:

• Dashboards: Traffic dashboard apresenta tráfego por aplicações, categorias web e utilizadores. Security dashboard apresenta atividade recusada, malware, spam e os principais países de origem e destino. Executive report reúne informação habitual sobre tráfego e ameaças. User threat quotient ordena os utilizadores por pontuação de ameaça.
• Network & threats: Intrusion attacks apresenta tentativas de ataque. Active threat response apresenta eventos de ameaça e hosts comprometidos com base nos feeds MDR e Sophos X-Ops. Wireless abrange a utilização de pontos de acesso e os SSID configurados, Security Heartbeat o estado comunicado dos endpoints e Zero-day protection a atividade de proteção reforçada contra ataques avançados e direcionados.
• Email: Email usage responde a questões sobre tráfego de e-mail; Email protection abrange tráfego infetado por vírus ou spam. A entrega de correio e os eventos de proteção são questões de análise diferentes.
• VPN: VPN abrange tráfego de acesso remoto, SSL VPN o tráfego dos clientes SSL VPN e Clientless access o acesso por navegador. A descrição de VPN também enumera IPsec, L2TP e PPTP. Esta classificação histórica não garante que todos os métodos estejam disponíveis ou sejam seguros de configurar no build instalado; não se ativam métodos de acesso obsoletos para obter um relatório.
• Compliance: As vistas disponíveis chamam-se HIPAA, GLBA, SOX, FISMA, PCI, NERC CIP v3 e CIPA; Events apresenta eventos de rede e respetiva gravidade. Estes relatórios apoiam a análise, mas não comprovam, por si só, conformidade integral nem a atualidade de um requisito para a organização.
• Applications & web: User app risks & usage, Cloud application usage e Web risks & usage permitem analisar utilização e risco. A utilização da cloud pode ser vista por classificação, categoria, utilização, conteúdo, zonas de origem e países de destino. Blocked user apps e Blocked web attempts apresentam tentativas bloqueadas; Web policy overrides apresenta exceções autorizadas às políticas. Synchronized applications abrange aplicações de endpoints detetadas através de Security Heartbeat, Search engine padrões de pesquisa e Web content correspondências dos filtros de conteúdo. Web server usage, Web server protection, User data transfer, FTP usage e FTP protection abrangem tráfego de servidores, ataques a servidores web e respetivas origens, tráfego de utilizadores e atividade FTP normal ou maliciosa.

O Application risk meter calcula uma pontuação média com base no nível de risco e nas ocorrências de cada aplicação. O vermelho indica mais tráfego de aplicações de alto risco, o verde mais tráfego de baixo risco. A média é um indicador, não uma prova de comprometimento concreto; para a avaliar, verificar as aplicações individuais, os níveis de risco e as ocorrências. Em Web content, existe um limite importante de privacidade: páginas classificadas como highly objectionable criminal activity são sempre bloqueadas e o nome de domínio é ocultado nos logs e relatórios. A ausência do domínio não significa, por isso, um erro de exportação nem justifica desativar a proteção para investigar.

Em Web policy overrides, verificar os utilizadores autorizados a substituir políticas e os sites bloqueados e categorias web abrangidos. A descrição de Web server usage inclui tráfego de aplicações, web, Internet e FTP; esta seleção não se limita, por isso, a ataques a servidores web. Estes pertencem a Web server protection.

Distinguir Custom report, Custom view e bookmark

Um Custom report em Reports > Custom restringe uma única área de dados através de critérios detalhados. Estão disponíveis relatórios de web, e-mail, FTP, utilizadores e servidores web. O limite dos relatórios web é importante: a pesquisa personalizada mostra apenas domínios, URLs, categorias e endereços IP permitidos. Os acessos web bloqueados são verificados em Reports > Applications & web > Blocked web attempts.

Uma Custom view combina vários grupos de relatórios numa única vista, por exemplo, atividade de Zero-day protection e utilizadores web. É criada em Reports > Show report settings > Custom view > Add com um nome e os grupos necessários, e aparece depois em Reports > Custom. A nova vista deve ser gerada e verificada manualmente antes de ser agendada ou partilhada.

Para escolher os critérios: um relatório web pesquisa navegação ou vírus, por exemplo por utilizador e domínio; um relatório de e-mail pesquisa utilização, spam e vírus por protocolo ou utilizador. Um relatório FTP pode pesquisar por tipo de transferência, utilizador, ficheiro ou IP de origem. Um relatório de utilizador associa aplicações de alto risco, domínios improdutivos e vírus detetados a um nome de utilizador ou host de origem. Um relatório de servidor web examina hora, utilizador, URI e atividade de proteção. Os critérios são escolhidos segundo a questão; não garantem a existência de dados sem o logging correspondente.

Guardar uma nova Custom view com Save antes de a gerar manualmente.

Um bookmark, pelo contrário, guarda uma seleção recorrente já filtrada. Um agendamento pode selecionar um grupo de relatórios predefinido ou personalizado, ou um bookmark. Para o administrador, a melhor escolha não é o relatório tecnicamente maior, mas a seleção mais pequena que responde à questão operacional concreta.

Guardar uma seleção recorrente como bookmark

Um bookmark é útil quando se pretende agendar não apenas um grupo de relatórios completo, mas uma seleção reutilizável com filtro.

1. Abrir o relatório preparado.
2. Selecionar Bookmark.
3. Introduzir um nome claro, como Weekly-IPS-Review.
4. Selecionar um grupo de bookmarks adequado e guardar com Save.

Se não existir um grupo adequado, este é criado em Reports > Show report settings > Bookmark management > Add bookmark group. Um nome como Weekly-IPS-Review descreve melhor a finalidade e a periodicidade do que Report1.

Depois de guardar, abrir novamente o bookmark e gerar outra vez o relatório. Assim se verifica se a seleção pretendida é realmente reutilizada. O período exato do PDF posterior não deve ser deduzido apenas do nome; deve ser confirmado no PDF gerado.

Se ainda não existir um grupo de bookmarks próprio, o bookmark pode ser atribuído ao grupo predefinido. Para um grupo novo, introduzir um nome e guardar com Save; o grupo organiza bookmarks relacionados, por exemplo sobre aplicações e ameaças. Para reabrir um, selecionar o grupo em Show e depois o bookmark individual. Um grupo só aparece nesta seleção se contiver pelo menos um bookmark. Se não aparecer, verificar primeiro o conteúdo em vez de criar repetidamente o agendamento.

Transferir uma exportação de comparação

Para uma comparação independente do transporte de e-mail, transferir os relatórios no WebAdmin, não através da CLI:

1. Abrir Reports > Applications & web.
2. Selecionar os critérios em Show e depois o intervalo de datas.
3. Gerar e verificar os dados com Generate.
4. Escolher um dos formatos disponíveis e abrir o ficheiro transferido.

Em Reports > Show report settings > Data management, o campo de retenção chama-se Log retention report period, embora se aplique apenas aos relatórios. Export customization controla, por sua vez, a seleção de relatórios e o número de registos por relatório na exportação. Escolher o âmbito adequado à análise antes da transferência e verificá-lo no ficheiro. Personalizar a exportação não altera a retenção nem constitui uma forma documentada de eliminar o limite de 50 registos dos relatórios agendados por e-mail. A gestão completa do armazenamento e das exportações encontra-se no artigo já ligado.

Criar o agendamento

1. Abrir Reports > Show report settings > Report scheduling.
2. Selecionar Add.
3. Escolher Report como tipo.
4. Introduzir os destinatários em To email address. Vários endereços são separados por vírgulas.
5. Em Report type, selecionar um grupo de relatórios ou o bookmark preparado.
6. Se disponível, definir a ordenação por Hits ou Bytes de acordo com a finalidade.
7. Em Email frequency, selecionar Daily ou Weekly.
8. Guardar com Save.

O campo de ordenação chama-se Sorting criteria; Hits dá prioridade às ocorrências frequentes e Bytes ao volume de dados. A opção aplica-se apenas aos relatórios que disponibilizam esta ordenação.

Para o exemplo, utilizam-se estes valores:

• Destinatário: firewall-reports@example.net
• Report type: Bookmark Weekly-IPS-Review
• Ordenação: Hits
• Frequência: Weekly

Estes valores não são uma norma geral. Num relatório de largura de banda pode ser mais útil ordenar por Bytes, um relatório operacional diário requer Daily e outro local pode precisar de um destinatário ou bookmark próprio.

Os On-box Reports agendados são enviados em PDF e contêm no máximo 50 registos. Este limite aplica-se ao relatório por e-mail e não deve ser entendido como um arquivo completo ou uma exportação de todos os dados locais. Para várias firewalls, dados HA consolidados ou análises centrais mais longas, o Sophos Central Firewall Reporting no Sophos Fusion é o nível mais adequado.

Desde o SFOS 21.5 MR1, um relatório PDF agendado utiliza o idioma do WebAdmin do administrador que criou o agendamento. Se o destinatário tiver de receber o relatório em alemão, o agendamento é criado numa sessão WebAdmin em alemão e o resultado é verificado com Generate now.

Além dos relatórios normais, o agendamento também oferece Security audit report e, com a integração configurada, ConnectWise. O Security Audit Report destina-se especialmente a uma análise passiva em Discover Mode com TAP e SPAN. Estes tipos têm outras finalidades e não devem ser escolhidos apenas porque um relatório normal permanece vazio.

Configurar de forma controlada agendamentos Security audit e ConnectWise

Um Security audit report é um relatório predefinido sobre atividades relacionadas com segurança. O agendamento contém os seguintes campos: Organization name para o nome apresentado no relatório, To email address para os destinatários separados por vírgulas, Report type para os dados do grupo de relatórios ou marcador e Email frequency para envio Daily ou Weekly.

Um ConnectWise schedule só fica disponível depois de integrar o ConnectWise com a Sophos Firewall. O ConnectWise tem de estar ativado em Reports > Show report settings > ConnectWise, com o URL do servidor e as credenciais do utilizador da integração da organização. Não divulgar credenciais em PDF de exemplo ou elementos enviados ao suporte. Configure os respetivos campos exatos de agendamento da seguinte forma:

• Report: Selecione um dos relatórios ConnectWise pré-configurados: Top sites, Filtered sites, Bandwidth usage ou Top attacks.
• Number of records: Defina o número de registos criados no relatório. Escolha a quantidade adequada ao objetivo da análise, sem presumir que o limite geral de 50 registos dos relatórios por e-mail é o valor pretendido para o ConnectWise.
• Frequency: Agende o relatório diariamente no intervalo especificado.

Depois de guardar um destes agendamentos especializados, utilize Generate now e verifique o relatório recebido. Uma integração ativa ou um agendamento visível na lista não prova, por si só, que o relatório predefinido contém os registos esperados.

Verificar o envio e o PDF

Depois de guardar, não se espera pelo primeiro horário regular.

1. Verificar o transporte de e-mail com Send test mail

Selecionar o agendamento na lista, executar Send test mail, introduzir um endereço de teste e selecionar Send. Este endereço é introduzido separadamente para o teste e não tem de coincidir com To email address do agendamento. Para que o primeiro teste seja representativo, deve utilizar-se a mesma caixa funcional. Depois, verificar nessa caixa, no filtro de spam ou no tracking do servidor de e-mail se a mensagem foi aceite e entregue.

Uma mensagem de teste bem-sucedida confirma a ligação ao servidor de e-mail configurado e a entrega básica. Ainda não confirma que o relatório escolhido contém dados ou que é gerado como um PDF correto.

2. Verificar o caminho completo com Generate now

Em seguida, executar Generate now. A firewall gera imediatamente o relatório agendado e envia-o aos destinatários introduzidos.

No PDF recebido, verificam-se:

• a firewall ou o local corretos;
• o grupo de relatórios ou a seleção de bookmark pretendidos;
• um período e timestamp plausíveis;
• uma ordenação e quantidade de dados adequadas;
• o idioma esperado;
• a apresentação legível de tabelas e gráficos;
• se tiver sido selecionado um logótipo próprio: antes de partilhar o relatório recém-gerado, verificar visualmente se apresenta o logótipo esperado;
• a ausência de divulgação desnecessária de dados de utilizadores, rede ou segurança.

⚠️ Ao atualizar de SFOS 20.0 ou anterior para SFOS 21.0 ou posterior, os relatórios anteriores e posteriores à atualização ficam armazenados em bases de dados separadas. Se for selecionado apenas o dia da migração, é necessário escolher Data before migration e Data after migration separadamente para analisar o dia completo. Um intervalo de datas que inclua o dia da migração deve, por sua vez, ser dividido em intervalos anteriores e posteriores a esse dia. O regresso à versão anterior provoca a perda de todos os relatórios gerados desde a atualização, mesmo após uma nova atualização. Ao verificar os PDF agendados, deve ter-se em conta esta separação das bases de dados: uma entrega de e-mail bem-sucedida não comprova, por si só, uma cobertura contínua da migração.

Verificar a atribuição de datas após uma interrupção: Ao desligar a firewall, podem ficar dados por processar. Após o reinício, os eventos nesses dados podem ser atribuídos ao dia anterior ao reinício, em vez do dia em que realmente ocorreram, mesmo a um dia em que a firewall esteve desligada. Isto diz respeito aos dados que ficaram por processar, não a todos os eventos indiscriminadamente. Após uma interrupção, gera-se por isso um novo PDF com Generate now e verificam-se com especial atenção o período e as datas dos eventos.

Para manter a coerência dos dados dos relatórios, recomenda-se o funcionamento contínuo da firewall; reiniciá-la não corrige discrepâncias nas datas dos eventos.

Só depois se observa a execução regular seguinte. A ajuda atual não descreve a relação exata entre a hora de execução, o fuso horário e o período do relatório com detalhe suficiente para que se possa pressupor um comportamento geral. Por isso, o relatório gerado é a prova de funcionamento.

Operação num cluster HA

Os dados de relatórios locais não são sincronizados entre os nós HA. Cada nó contém apenas relatórios relativos ao tráfego que processa. A ajuda de Report scheduling, de 19 de dezembro de 2025, descreve o envio por ambos os appliances assim que o relatório de um appliance contém pelo menos uma linha de dados numa tabela; sem uma linha de dados, não descreve qualquer envio. Em contrapartida, a visão geral de HA, de 13 de agosto de 2025, descreve um envio pelo appliance auxiliar dependente dos dados e apresenta Security Dashboard e Security Audit como exemplos sem envio. Estas descrições não coincidem inteiramente; a ajuda sobre agendamento é a documentação mais recente e mais específica para este processo, mas não constitui uma garantia para todos os cenários de relatório/build. Por isso, podem chegar dois e-mails. Utiliza-se Generate now para verificar o comportamento do relatório selecionado no build em utilização e comparam-se o remetente, o appliance, o período e o conteúdo antes de eliminar um agendamento aparentemente duplicado. A ausência de um segundo e-mail, por si só, não permite concluir que existe um erro ou uma falha da funcionalidade HA.

Mesmo um appliance de resto inativo pode gerar um Executive report com utilização do sistema e dados de relatórios. «Sem tráfego de utilizadores» não significa, portanto, «sem linhas de dados» e não impede necessariamente o envio por ambos os appliances.

Esta entrega não é automaticamente um erro. Primeiro, comparam-se remetente, identidade do appliance, período e conteúdo de ambos os PDFs. Para uma visão consolidada dos dois nós, o Central Reporting é mais adequado do que dois relatórios locais por e-mail.

Depois de um failover HA, substituição do appliance ou atualização de firmware, volta a verificar-se Generate now. Assim se deteta se um agendamento continua visível, mas os dados, o idioma ou a entrega de e-mail já não correspondem ao esperado.

Isolar erros sistematicamente

Send test mail falha

Nesse caso, o problema está no caminho de e-mail e ainda não no conteúdo do relatório. Em Administration > Notification settings, verificam-se DNS, rota, porta, autenticação, OAuth, TLS, certificado, remetente e destinatário. O tracking do servidor de e-mail ou a quarentena mostram se a mensagem foi aceite ou rejeitada.

O agendamento não deve ser criado repetidamente. Primeiro, a mensagem de teste tem de chegar de forma fiável. Os erros típicos e as verificações seguras encontram-se no artigo sobre notificações por e-mail.

A mensagem de teste chega, mas Generate now não entrega um relatório

O caminho SMTP está então confirmado em princípio. De seguida, verifica-se:

1. Está selecionado o grupo de relatórios ou bookmark correto no agendamento?
2. O mesmo relatório contém dados quando é executado manualmente?
3. O On-box Reporting está ativo e é suportado pelo modelo do appliance?
4. A utilização de /var está abaixo do limite de paragem dos relatórios e, após uma paragem por falta de espaço, novamente abaixo do limite de aviso?
5. O logging e as funções de proteção necessárias estão ativos para os dados esperados?
6. A mensagem aparece no tracking do servidor de e-mail, spam ou quarentena?

Na Device Console, dois comandos só de leitura mostram o estado atual do On-box e os limites de armazenamento de relatórios:

show on-box-reports
show report-disk-usage watermark

Os comandos não alteram nada. O diagnóstico adicional do armazenamento e o significado da saída encontram-se em Gerir espaço e relatórios.

O PDF está vazio, incompleto ou é apresentado incorretamente

Primeiro, gerar manualmente o mesmo relatório com o mesmo período e filtro. Se a análise no WebAdmin já estiver vazia, faltam dados de relatório, logging ou eventos correspondentes. Se apenas o PDF contiver dados incorretos ou incompletos, documentam-se a versão do SFOS, o build, o browser, o agendamento, a hora de Generate now e um PDF de exemplo.

O SFOS 22.0 MR2 Build 546 corrige, entre outros, erros conhecidos com um PDF diário vazio do Traffic dashboard sem On-box Reporting e tabelas ou gráficos apresentados incorretamente em PDFs On-demand gerados no Chrome. Um sintoma semelhante noutro build não corresponde automaticamente ao mesmo erro. Antes de alterações, verifica-se por isso o build exato e compara-se com um relatório gerado manualmente.

Para uma análise mais profunda, correlacionam-se a hora do teste e os ficheiros cschelper.log, reportdb.log, garner.log e, se necessário, postgres.log. O acesso é descrito em Sophos Firewall Troubleshooting: Serviços e Logs. Uma única entrada de log não é motivo suficiente para reiniciar serviços de reporting ou eliminar dados de relatórios.

Não é possível transferir o Executive report com 1 month em PDF

Para o SFOS 22.0 MR1 Build 490, a Sophos documentou em NC-182976 um cenário de erro estritamente delimitado: em Reports > Dashboards > Executive report, a transferência do PDF podia falhar quando estava selecionado o período 1 month. Por isso, verificam-se primeiro o build exato do firmware, o tipo de relatório, o período e o formato de saída. Outros relatórios PDF ou relatórios agendados por e-mail não são automaticamente afetados.

No texto descritivo da altura, a Sophos indicava a transferência de um ficheiro CSV com o período de um dia; porém, a coluna separada Workaround da KIL apresentava None. Por isso, esta exportação é apenas uma verificação alternativa limitada. Não substitui um relatório mensal completo e não confirma nem o relatório mensal nem o processo de geração do PDF. Se também falharem outros relatórios, períodos ou formatos, o cenário de erro é mais abrangente do que NC-182976; nesse caso, documentam-se a hora e o browser e guardam-se os logs acima referidos, em vez de reiniciar serviços de reporting ou eliminar dados de relatórios.

A entrada anteriormente documentada para NC-182976 indicava o SFOS 23.0 EAP0 Build 275 no campo Fix versions e descrevia as correções para o SFOS 23 e o SFOS 22.0 MR3 como previstas para breve. Estes campos históricos não comprovam o estado atual da versão nem do erro. Antes de um upgrade, consultam-se a Known Issues List atual e as Release Notes da versão de destino aprovada, bem como o respetivo suporte para o modelo utilizado. A ausência da entrada na Known Issues List atual não comprova que o erro tenha sido corrigido. Se o mesmo sintoma ocorrer no MR2 ou noutro build, não é automaticamente atribuído a NC-182976, mas sim verificado com os dados guardados.

O e-mail contém apenas 50 registos

Este é o limite superior documentado para relatórios agendados por e-mail. O filtro e a finalidade do relatório são escolhidos de modo que os 50 registos mais importantes respondam à questão operacional concreta. Se forem necessários dados brutos completos, um histórico mais longo ou análises de várias firewalls, um processo central de reporting ou SIEM é mais adequado.

O mesmo relatório chega duas vezes

Num cluster HA, podem ser esperados dois e-mails; as descrições oficiais do envio pelo appliance auxiliar dependente dos dados diferem, conforme explicado na secção sobre o funcionamento em HA. Utiliza-se Generate now para verificar o relatório selecionado no build em utilização e comparam-se o remetente, o appliance, o período e o conteúdo antes de eliminar um agendamento aparentemente duplicado. A ausência de um segundo e-mail, por si só, não comprova uma falha de HA. Numa única firewall, verifica-se, em contrapartida, se dois agendamentos utilizam a mesma seleção de relatório e o mesmo destinatário.