Planera och skicka Sophos Firewall-rapporter via e-post

Sophos Firewall kan skicka lokala rapporter dagligen eller varje vecka som PDF. För att mottagaren ska få en användbar analys och inte bara en godtycklig fil kontrolleras rapporten först manuellt och schemaläggs därefter.

Det tillförlitliga arbetsflödet är kort:

1. Generera den önskade rapporten manuellt med rätt period och filter.
2. Spara vid behov urvalet som en bookmark.
3. Skapa ett schema under Reports > Show report settings > Report scheduling.
4. Kontrollera e-postvägen med Send test mail.
5. Generera och skicka rapporten direkt med Generate now.
6. Kontrollera den mottagna PDF-filen avseende innehåll, period, språk och känsliga uppgifter.

Send test mail och Generate now kontrollerar inte samma sak. Testmeddelandet bekräftar e-posttransporten. Först Generate now kontrollerar dessutom att brandväggen kan generera den valda rapporten och skicka den som PDF.

⚠️ Modellerna XGS 87/87w och XGS 88/88w stöder inte On-appliance Reporting. För dessa modeller eller för central analys av flera brandväggar passar Sophos Central Firewall Reporting i Sophos Fusion bättre.

Kontrollera förutsättningarna

Innan schemat skapas kontrolleras sex grunder:

• Lokala rapporter fungerar: Under Reports innehåller den önskade perioden redan rimliga data. Ett schema kan inte reparera saknad loggning eller en tom rapportdatabas.
• E-postutskick fungerar: Den inbyggda eller externa e-postservern och de inställningar som krävs för autentisering, anslutningssäkerhet, avsändare och mottagare är konfigurerade under Administration > Notification settings. Hela arbetsflödet beskrivs i Konfigurera och testa e-postaviseringar i Sophos Firewall.
• Tid och tidszon är korrekta: Fel systemtid gör det svårare att välja och kontrollera perioden. Konfigurationen beskrivs i Konfigurera datum, tid och NTP.
• Lokal lagring är tillgänglig: Data för On-box Reports finns under /var. När stopptröskeln nås avbryter brandväggen rapporteringen. Status, varningströsklar och retention beskrivs i Kontrollera lagringsutrymme och hantera rapporter i Sophos Firewall.
• Den lokala lagringstiden motsvarar syftet: Under Reports > Show report settings > Data management kan rapporter sparas i högst ett år. Den valda perioden räknas bakåt från föregående månad och en ändring träder i kraft klockan 00:00. Inställningen gäller endast rapporter, inte loggar eller PDF-filer som redan har levererats till en brevlåda. Brandväggen raderar äldre rapporter automatiskt. Kontrollera därför organisationens krav på regelefterlevnad och lagring innan lagringstiden ändras.
• Mottagare och syfte är fastställda: En funktionsbrevlåda som firewall-reports@example.net är oftast bättre än en personlig adress. Det behövs en Owner som faktiskt granskar rapporterna.

En PDF kan innehålla användare, IP-adresser, MAC-adresser, e-postadresser, URL:er och säkerhetshändelser. Håll därför mottagargruppen liten, kryptera e-posttransporten och ta hänsyn till lagringen i brevlådan. Om Data Anonymization för loggar och rapporter används måste man i den faktiskt mottagna PDF-filen kontrollera att de förväntade uppgifterna har anonymiserats.

Styr Top Users i PDF-rapporter globalt

Det otydligt namngivna Device Console-kommandot system custom-feature styr om genererade PDF-rapporter även innehåller Top Users. Omkopplaren är systemomfattande och har ingen parameter för rapport eller mottagare. Eftersom den aktuella SFOS 22-hjälpen inte anger något standardvärde läses befintlig status först:

system custom-feature show

enable lägger till Top Users och disable tar bort dem igen från genererade PDF-filer:

system custom-feature enable
system custom-feature disable

Kontrollera mottagare, lagringstid och Data Anonymization före enable. Använd därefter Generate now för att skapa en verklig PDF och bekräfta att förväntade användare visas och att känsliga identiteter skyddas som avsett. Omkopplaren skapar ingen saknad användartilldelning och löser inte ett autentiserings- eller loggningsproblem. Rollback använder disable och bekräftas med show och en nygenererad PDF.

Förbered rapportinnehållet

I exemplet ska en veckovis IPS-rapport visa vilka attacker som har identifierats oftast. Namn och värden anpassas till den egna miljön.

1. Öppna Reports > Network & threats > Intrusion attacks.
2. Välj önskat datumintervall.
3. Begränsa vid behov analysen till relevanta system, regler eller händelser med Filter.
4. Välj Generate.
5. Kontrollera att period, träffar och sortering motsvarar den fråga som rapporten ska besvara.

Det sakliga syftet ska kunna förklaras i en mening, till exempel: ”Säkerhetsteamet granskar varje måndag föregående veckas vanligaste IPS-träffar.” Den formuleringen hjälper till att avgöra vilken rapport, vilket filter och vilken mottagare som faktiskt behövs.

Skilj mellan Custom report, Custom view och bookmark

En Custom report under Reports > Custom begränsar ett enskilt dataområde med detaljerade kriterier. Det finns rapporter för webb, e-post, FTP, användare och webbservrar. Begränsningen för webbrapporter är viktig: den anpassade sökningen visar endast tillåtna domäner, URL:er, kategorier och IP-adresser. Kontrollera blockerad webbåtkomst i stället under Reports > Applications & web > Blocked web attempts.

En Custom view kombinerar flera rapportgrupper i en gemensam vy, till exempel aktivitet från Zero-day protection och webbanvändare. Den skapas under Reports > Show report settings > Custom view > Add med ett namn och de rapportgrupper som behövs och visas därefter under Reports > Custom. Generera och kontrollera den nya vyn manuellt innan den schemaläggs eller delas.

En bookmark sparar däremot ett redan filtrerat, återkommande urval. Ett schema kan välja en standardgrupp, en anpassad rapportgrupp eller en bookmark. För administratören är den bästa lösningen inte den tekniskt största rapporten, utan det minsta urval som besvarar den konkreta driftsfrågan.

Spara ett återkommande urval som bookmark

En bookmark är användbar när man inte bara vill schemalägga en hel rapportgrupp, utan ett återanvändbart urval med filter.

1. Öppna den förberedda rapporten.
2. Välj Bookmark.
3. Ange ett tydligt namn som Weekly-IPS-Review.
4. Välj en lämplig bookmark-grupp och spara.

Om en lämplig grupp saknas skapas den under Reports > Show report settings > Bookmark management > Add bookmark group. Ett namn som Weekly-IPS-Review beskriver syfte och intervall bättre än Report1.

Öppna bookmarken igen efter att den har sparats och generera rapporten på nytt. Då kontrolleras att det avsedda urvalet verkligen återanvänds. Den exakta perioden i den senare PDF-filen ska inte härledas enbart ur namnet, utan kontrolleras i den genererade PDF-filen.

Skapa schemat

1. Öppna Reports > Show report settings > Report scheduling.
2. Välj Add.
3. Välj Report som typ.
4. Ange mottagarna under To email address. Flera adresser separeras med kommatecken.
5. Välj en rapportgrupp eller den förberedda bookmarken under Report type.
6. Om alternativet finns, välj sortering efter Hits eller Bytes utifrån syftet.
7. Välj Daily eller Weekly under Email frequency.
8. Spara.

Följande värden används i exemplet:

• Mottagare: firewall-reports@example.net
• Report type: Bookmark Weekly-IPS-Review
• Sortering: Hits
• Frekvens: Weekly

Värdena är ingen allmän standard. En bandbreddsrapport kan med fördel sorteras efter Bytes, en daglig driftsrapport kräver Daily och en annan plats kan behöva en egen mottagare eller bookmark.

Schemalagda On-box Reports skickas som PDF och innehåller högst 50 poster. Gränsen gäller e-postrapporten och ska inte uppfattas som ett fullständigt arkiv eller en export av alla lokala data. För flera brandväggar, konsoliderade HA-data eller längre centrala analyser är Sophos Central Firewall Reporting i Sophos Fusion den lämpligare nivån.

Sedan SFOS 21.5 MR1 använder en schemalagd PDF-rapport WebAdmin-språket för den administratör som skapade schemat. Om mottagaren ska få rapporten på tyska skapas schemat därför i en tyskspråkig WebAdmin-session och resultatet kontrolleras med Generate now.

Utöver vanliga rapporter erbjuder schemaläggningen även Security audit report och, om en integration har konfigurerats, ConnectWise. Security Audit Report är särskilt avsedd för en passiv Discover Mode-analys med TAP och SPAN. Dessa typer fyller andra syften och ska inte väljas enbart för att en vanlig rapport är tom.

Konfigurera Security audit- och ConnectWise-scheman kontrollerat

En Security audit report är en fördefinierad rapport om säkerhetsrelaterad aktivitet. Schemat innehåller följande fält: Organization name för namnet som visas i rapporten, To email address för kommaseparerade mottagare, Report type för data från rapportgruppen eller bokmärket och Email frequency för leverans Daily eller Weekly.

Ett ConnectWise schedule blir tillgängligt först när ConnectWise har integrerats med Sophos Firewall. Konfigurera de exakta fälten så här:

• Report: Välj en av de förkonfigurerade ConnectWise-rapporterna: Top sites, Filtered sites, Bandwidth usage eller Top attacks.
• Number of records: Ange hur många poster som ska skapas i rapporten. Välj antalet utifrån granskningssyftet i stället för att anta att den allmänna gränsen på 50 poster för e-postrapporter är önskat ConnectWise-värde.
• Frequency: Schemalägg rapporten dagligen med det angivna intervallet.

När ett specialschema har sparats använder du Generate now och granskar den levererade rapporten. En aktiv integration eller ett schema som visas i listan bevisar inte i sig att den fördefinierade rapporten innehåller de förväntade posterna.

Kontrollera utskicket och PDF-filen

Efter att schemat har sparats väntar man inte till den första ordinarie tiden.

1. Kontrollera e-posttransporten med Send test mail

Välj schemat i listan, kör Send test mail, ange en testadress och välj Send. Adressen anges separat för testet och behöver inte motsvara schemats To email address. Använd samma funktionsbrevlåda för ett meningsfullt första test. Kontrollera sedan i den brevlådan, spamfiltret eller e-postserverns spårning om meddelandet togs emot och levererades.

Ett lyckat testmeddelande bekräftar anslutningen till den konfigurerade e-postservern och grundläggande leverans. Det bekräftar ännu inte att den valda rapporten innehåller data eller genereras som en korrekt PDF.

2. Kontrollera hela vägen med Generate now

Kör därefter Generate now. Brandväggen genererar omedelbart den schemalagda rapporten och skickar den till de angivna mottagarna.

Kontrollera följande i den mottagna PDF-filen:

• rätt brandvägg eller plats;
• avsedd rapportgrupp eller bookmark-urval;
• rimlig period och tidsstämpel;
• ändamålsenlig sortering och datamängd;
• förväntat språk;
• läsbar presentation av tabeller och diagram;
• inga onödigt exponerade användar-, nätverks- eller säkerhetsuppgifter.

⚠️ Vid en uppgradering från SFOS 20.0 eller tidigare till SFOS 21.0 eller senare lagras rapporter från före och efter uppgraderingen i separata databaser. Om endast migreringsdagen väljs måste Data before migration och Data after migration väljas var för sig för att analysera hela dagen. Ett datumintervall som omfattar migreringsdagen måste däremot delas upp i intervall före och efter den dagen. En återgång till den tidigare versionen medför att alla rapporter som genererats sedan uppgraderingen går förlorade, även efter en ny uppgradering. Ta hänsyn till denna databasgräns när schemalagda PDF-filer kontrolleras: lyckad e-postleverans bevisar inte i sig obruten täckning över migreringen.

Kontrollera datumtilldelningen efter ett avbrott: När brandväggen stängs av kan data förbli obearbetade. Efter omstarten kan händelser i dessa data tilldelas dagen före omstarten i stället för den dag då de faktiskt inträffade, även en dag då brandväggen var avstängd. Detta gäller kvarvarande obearbetade data, inte alla händelser generellt. Generera därför efter ett avbrott en ny PDF med Generate now och kontrollera perioden och händelsedatumen särskilt noggrant.

Först därefter observeras nästa ordinarie körning. Den aktuella hjälpen beskriver inte den exakta kopplingen mellan körningstid, tidszon och rapportperiod tillräckligt detaljerat för att den ska kunna förutsättas generellt. Den genererade rapporten är därför funktionsbeviset.

Drift i ett HA-kluster

Lokala rapportdata synkroniseras inte mellan HA-noderna. Varje nod innehåller bara rapporter för den trafik som den bearbetar. Så snart rapporten som genereras av den primära eller auxiliary-noden innehåller minst en datarad i någon tabell skickar båda enheterna rapporten. Om ingen tabell innehåller data skickas ingen rapport. Därför kan två e-postmeddelanden för samma schema komma från ett HA-kluster.

Leveransen är inte automatiskt ett fel. Jämför först avsändare, appliance-identitet, period och innehåll i båda PDF-filerna. För en konsoliderad vy över båda noderna passar Central Reporting bättre än två lokala e-postrapporter.

Efter en HA-failover, ett byte av appliance eller en firmwareuppdatering kontrolleras Generate now igen. Då upptäcks om ett schema fortfarande syns men data, språk eller e-postleverans inte längre motsvarar förväntningarna.

Avgränsa fel systematiskt

Send test mail misslyckas

Då ligger problemet i e-postvägen och ännu inte i rapportinnehållet. Under Administration > Notification settings kontrolleras DNS, route, port, autentisering, OAuth, TLS, certifikat, avsändare och mottagare. E-postserverns spårning eller karantän visar om meddelandet togs emot eller avvisades.

Skapa inte schemat på nytt flera gånger. Först måste ett testmeddelande komma fram på ett tillförlitligt sätt. Felbilderna och säkra kontroller beskrivs i artikeln om e-postaviseringar.

Testmeddelandet kommer fram men Generate now levererar ingen rapport

SMTP-vägen är då i princip bekräftad. Därefter kontrolleras följande:

1. Är rätt rapportgrupp eller bookmark vald i schemat?
2. Innehåller samma rapport data när den körs manuellt?
3. Är On-box Reporting aktiverat och stöds det av appliance-modellen?
4. Ligger användningen av /var under stopptröskeln för rapporter?
5. Är loggning och nödvändiga skyddsfunktioner aktiverade för de förväntade data?
6. Syns meddelandet i e-postserverns spårning, spam eller karantän?

I Device Console visar två skrivskyddade kommandon aktuell On-box-status och tröskelvärden för rapportlagring:

show on-box-reports
show report-disk-usage watermark

Kommandona ändrar ingenting. Ytterligare lagringsdiagnostik och innebörden av utdata beskrivs i Hantera lagringsutrymme och rapporter.

PDF-filen är tom, ofullständig eller visas felaktigt

Generera först samma rapport manuellt med identisk period och samma filter. Om WebAdmin-analysen redan är tom saknas rapportdata, loggning eller lämpliga händelser. Om endast PDF-filen innehåller felaktiga eller ofullständiga data dokumenteras SFOS-version, build, webbläsare, schema, tidpunkt för Generate now och en exempel-PDF.

SFOS 22.0 MR2 Build 546 åtgärdar bland annat kända fel med en tom daglig Traffic dashboard-PDF utan On-box Reporting och felaktigt återgivna tabeller eller diagram i On-demand-PDF-filer som genererats i Chrome. Ett liknande symptom på en annan build är inte automatiskt samma fel. Kontrollera därför exakt build före ändringar och jämför med en manuellt genererad rapport.

För en djupare analys korreleras testtidpunkten med filerna cschelper.log, reportdb.log, garner.log och vid behov postgres.log. Åtkomsten beskrivs i Felsökning av Sophos Firewall: Tjänster och loggar. En enskild loggrad är inte tillräckligt skäl för att starta om rapporteringstjänster eller radera rapportdata.

Executive report med 1 month kan inte hämtas som PDF

För SFOS 22.0 MR1 Build 490 dokumenterar Sophos under NC-182976 ett snävt avgränsat fel: under Reports > Dashboards > Executive report kan PDF-hämtningen misslyckas när perioden 1 month har valts. Kontrollera därför först exakt firmware-build, rapporttyp, period och utdataformat. Andra PDF-rapporter eller schemalagda e-postrapporter påverkas inte automatiskt.

I beskrivningstexten anger Sophos en CSV-hämtning med en period på en dag, men den separata KIL-kolumnen Workaround står fortfarande som None. Därför är denna export endast en begränsad alternativ kontroll. Den ersätter inte en fullständig månadsrapport och bekräftar varken månadsrapporten eller flödet för PDF-generering. Om även andra rapporter, perioder eller format misslyckas är felet mer omfattande än NC-182976; dokumentera då tidpunkt och webbläsare och säkra de ovan nämnda loggarna, i stället för att starta om rapporteringstjänster eller radera rapportdata.

Den aktuella Known Issues List anger SFOS 23.0 EAP0 Build 275 i fältet Fix versions och beskriver fortfarande korrigeringarna för SFOS 23 och SFOS 22.0 MR3 som kommande. Kontrollera före en uppgradering i de aktuella versionsanteckningarna att en publicerad målversion finns tillgänglig och stöds för modellen. Om samma symtom uppstår i MR2 eller en annan build tillskrivs det inte automatiskt NC-182976, utan kontrolleras med hjälp av de säkrade uppgifterna.

E-postmeddelandet innehåller endast 50 poster

Detta är den dokumenterade övre gränsen för schemalagda e-postrapporter. Filter och rapportsyfte väljs så att de 50 viktigaste posterna besvarar den konkreta driftsfrågan. Om fullständiga rådata, längre historik eller analyser över flera brandväggar behövs är ett centralt reporting- eller SIEM-arbetsflöde lämpligare.

Samma rapport kommer två gånger

I ett HA-kluster skickar båda enheterna rapporten när rapporten som genereras av den primära eller auxiliary-enheten innehåller minst en datarad i någon tabell. Jämför avsändare, enhet och innehåll innan ett påstått dubblerat schema raderas. På en enskild brandvägg kontrolleras i stället om två scheman använder samma rapporturval och samma mottagare.