به‌روزرسانی Sophos Firewall v22.0 MR3 از سوی شرکت Sophos منتشر شد و تمرکز اصلی آن بر بهبود پایداری، قابلیت اطمینان و امنیت است. این انتشار علاوه بر یک قابلیت کلیدی برای مدیریت Site-to-site IPsec VPN، بیش از 15 اصلاح مهم را ارائه می‌دهد که ریسک‌های عملیاتی را کاهش می‌دهد و تجربه مدیریت را بهبود می‌بخشد. اگر در شبکه خود از SFOS نسخه 22 یا نسخه‌های پشتیبانی‌شده قبلی استفاده می‌کنید، توصیه می‌شود این نسخه را هرچه سریع‌تر نصب کنید تا از آخرین اصلاحات امنیتی و کارکردی بهره‌مند شوید.
چه چیزهایی در به‌روزرسانی Sophos Firewall v22.0 MR3 جدید است؟
این نگارش نگهداری، علاوه بر استمرار رویکرد Secure by Design که از نسخه 22 تقویت شد و قابلیت‌هایی نظیر Health Check را برای کشف پیکربندی‌های پرریسک ارائه داد، یک تغییر مشخص و عملیاتی را در حوزه VPN اضافه می‌کند. در عین حال، مسیر ارتقا و ملاحظات سازگاری سخت‌افزاری نیز به‌روشنی مشخص شده است تا تیم‌های IT بتوانند بدون اختلال، به این نسخه مهاجرت کنند.
- افزوده‌شدن دستور مدیریتی برای Site-to-site IPsec VPN جهت خاموش‌کردن بررسی سخت‌گیرانه سیاست‌ها در تونل‌هایی که همتایان ثالث از Security Association مشترک (SA) میان چند جفت subnet استفاده می‌کنند. این قابلیت برای سناریوهایی طراحی شده است که همتای مقابل، SA را بین چندین جفت شبکه به اشتراک می‌گذارد و در نتیجه ترافیک ورودی IPsec ممکن است دقیقاً با SA مورد انتظار مطابقت نداشته باشد. با غیرفعال‌سازی بررسی سخت‌گیرانه، ترافیک معتبر دیگر به‌اشتباه drop نمی‌شود و تونل‌های بین‌سایتی پایدارتر عمل می‌کنند. راهنمای جزئیات این دستور در مستندات مربوط به VPN command در دسترس است.
- تداوم معماری Secure by Design که در نسخه 22 پیاده‌سازی شد و با Health Check امکان شناسایی پیکربندی‌های پرتاثیر بر ریسک را فراهم می‌کند. همچنین یادآوری می‌شود که در MR2 همین شاخه، کنترل برنامه‌های مبتنی بر هوش مصنوعی مولد، شناسایی رمزنگاری پسا-کوانتومی و پشتیبانی بهتر از Chromebook افزوده شده بود؛ MR3 با رویکرد نگهداری، کیفیت این مسیر را تثبیت می‌کند.
چه مشکلاتی برطرف شده است؟
به‌صورت کلی، این نگارش بیش از 15 بهبود و اصلاح مهم در حوزه‌های پایداری، قابلیت اطمینان و امنیت ارائه می‌دهد. اگرچه فهرست ریزاقلام در اطلاعیه عمومی جزئیات آیتم‌به‌آیتم ندارد، ولی هدف از این سطح از اصلاحات، کاهش رخدادهای پیش‌بینی‌نشده، بهبود رفتار اجزای حیاتی مانند موتورهای امنیتی و مسیریابی، و تقویت مصونیت در برابر خطاها و شرایط لبه‌ای عنوان شده است.
با توجه به این‌که بسیاری از اصلاحات امنیتی غیراضطراری در چنین نگارش‌های نگهداری ادغام می‌شوند، نصب این نسخه برای کاهش سطح ریسک توصیه می‌شود. استفاده‌کنندگان از ویژگی‌های VPN، SD-WAN و مدیریت متمرکز در محیط‌های چندسایتی بیش از دیگران از این بهبودها منتفع خواهند شد.
ابزار Sophos Firewall Config Studio 2.7
تیم محصول علاوه بر انتشار فریم‌ورک اصلی، نسخه 2.7 از ابزار تحت‌وب Sophos Firewall Config Studio را نیز ارائه کرده است؛ ابزاری که مشاهده، تحلیل، مقایسه و ویرایش پیکربندی‌های فایروال را ساده می‌سازد. این نسخه مجموعه‌ای از قابلیت‌ها و اصلاحات کاربردی را اضافه می‌کند که کار DevSecOps و تیم‌های عملیات را در فرایند تغییرات پیکربندی بهینه می‌کند.
- امکان پیش‌نمایش و خروجی‌گرفتن صرفاً از تغییرات: در نمای XML، یک حالت «Changes-only» اضافه شده است که فقط اشیایی را که افزوده، تغییر یا حذف کرده‌اید فهرست می‌کند. منوی Download نیز می‌تواند به‌جای کل پیکربندی، فقط همان تغییرات را به‌صورت XML یا TAR صادر کند. این رویکرد، ممیزی تغییرات و به‌کارگیری انتخابی آن‌ها را به‌مراتب آسان‌تر می‌کند.
- زبانه API Request اکنون درخواست مبتنی بر تغییر می‌سازد: برای اشیای جدید از عملیات Set با حالت add، برای اشیای تغییرکرده از Set با حالت update و برای اشیای حذف‌شده از بلوک Remove استفاده می‌شود. بدین ترتیب، می‌توانید یک ویرایش هدفمند را بدون اعمال مجدد کل پیکربندی به‌صورت خودکار push کنید و ریسک ناسازگاری یا overwrite ناخواسته را کاهش دهید.
- محاسبه‌گر سایزبندی SD-WAN اکنون علاوه بر مجموع connection group، تعداد تونل‌ها به‌ازای هر فایروال را نیز نشان می‌دهد و محدودیت تونل دستگاه را در برابر این عدد بررسی می‌کند. این به‌روزرسانی، برنامه‌ریزی مقیاس‌پذیر و پایدار کلاسترها و سایت‌ها را دقیق‌تر می‌کند.
- اصلاحی برای تاریخ نسخه‌های مقایسه‌شده: هنگام مقایسه پیکربندی‌ها، مشکل همگام‌نشدن تاریخ بازنگری‌ها با دکمه Swap رفع شده است تا تطبیق نسخه‌ها دقیق انجام شود.
- بهبود در Web Exception domain helper: مشکل حذف‌شدن path برطرف شده است؛ با وارد کردن
example.com/foobarاکنون یک عبارت باقاعده (regex) محدود به همان مسیر ساخته می‌شود و کل دامنه را پوشش نمی‌دهد. همچنین مثال‌های مربوط به محدوده‌های CIDR دیگر نمایش داده نمی‌شوند، زیرا regex مربوط به URL قادر به انطباق با یک «range» نیست. - برای استفاده از این ابزار، کافی است به پیوند معرفی‌شده تحت عنوان Sophos Firewall Config Studio مراجعه کنید. محیط کاملاً مبتنی بر مرورگر است و برای بررسی قبل از اعمال تغییرات، مدیریت تغییرات کنترل‌شده و مستندسازی تغییرات مفید خواهد بود.
برنامه Early Access برای نسخه v23
برنامه دسترسی زودهنگام نسخه v23 در حال اجرا است و به‌گفته تیم محصول، شامل برخی از پرتقاضاترین قابلیت‌ها از سوی مشتریان خواهد بود. پایه و اساس این قابلیت‌ها همچنان بر رویکرد Secure by Design استوار است و هدف آن ارتقای تجربه بهره‌برداران در سناریوهای پیچیده‌تر است.
توجه شود ارتقا مستقیم از SFOS v22 MR3 به v23 EAP1 امکان‌پذیر نیست. پیش از شروع، الزامات ارتقا را بررسی کنید تا مسیر مناسب و پشتیبانی‌شده را طی کنید و از هرگونه وقفه خدماتی جلوگیری شود.
چه کسانی باید به‌روزرسانی کنند و پیش‌نیازها؟
توصیه می‌شود همه سازمان‌هایی که از نسخه‌های SFOS v22 و سایر نسخه‌های پشتیبانی‌شده استفاده می‌کنند، به این نگارش مهاجرت کنند. این توصیه به‌ویژه برای تیم‌هایی که به پایداری تونل‌های Site-to-site IPsec VPN و جلوگیری از drop ناخواسته ترافیک اهمیت می‌دهند، اولویت دارد.
از منظر سازگاری، نسخه‌های SFOS 22.0 GA و نگارش‌های بعد از آن از سخت‌افزارهای سری XG و SG پشتیبانی نمی‌کنند. بنابراین پیش از برنامه‌ریزی مهاجرت، از وضعیت سخت‌افزارهای فعلی شبکه خود اطمینان حاصل کنید. همچنین این نسخه یک ارتقای کاملاً پشتیبانی‌شده از تمامی نگارش‌های پشتیبانی‌شده v22، v21.5، v21 و v20 به‌شمار می‌رود، اما نمی‌توان از آن به v23 EAP1 به‌طور مستقیم ارتقا داد.
روش دریافت Firmware و مستندات
این به‌روزرسانی برای همه مشتریان دارای لایسنس Sophos Firewall با پشتیبانی Enhanced یا Enhanced Plus رایگان است و توصیه می‌شود هرچه زودتر روی تمام دستگاه‌های پشتیبانی‌شده نصب شود تا آخرین اصلاحات امنیتی، پایداری و کارایی اعمال شود. این انتشار مطابق فرایند استاندارد به‌روزرسانی منتشر می‌شود. می‌توانید به‌صورت دستی بسته SFOS را از پنل Sophos Central دریافت و در زمان مناسب اعمال کنید؛ همچنین طی هفته‌های آتی، انتشار تدریجی برای تمام دستگاه‌های متصل انجام خواهد شد.
به‌محض در دسترس بودن نسخه برای دستگاه شما، یک اعلان در کنسول مدیریتی محلی یا در کنسول مدیریت Sophos Central ظاهر می‌شود تا بتوانید زمان مناسب برای نصب را برنامه‌ریزی کنید. برای جزئیات مسیرهای ارتقا و ملاحظات تکمیلی، به تب Upgrade Information در یادداشت‌های انتشار مراجعه کنید. مستندات کامل محصول نیز در پورتال آنلاین و درون خود محصول قابل دسترس است.
ضرورت به‌روز نگه‌داشتن Firmware
فایروال Sophos Firewall از قابلیتی نوآورانه به‌نام Hotfix بهره می‌برد که این امکان را می‌دهد در مواجهه با Zero-Dayها یا دیگر رخدادهای بحرانی، پچ‌های ضروری و فوری «روی هوا» به دستگاه اعمال شود. این رویکرد اجرای اصلاحات حیاتی را بدون نیاز به downtime ناشی از ارتقای Firmware و reboot ممکن می‌کند و به این ترتیب، فاصله زمانی تا اعمال وصله به کمترین حد می‌رسد.
با این حال، لازم است Firmware را به‌صورت منظم به‌روز نگه دارید، زیرا اصلاحات امنیتی غیراضطراری و بهبودهای کارکردی معمولاً در نگارش‌های نگهداری ادغام می‌شوند. از آنجا که تمام به‌روزرسانی‌های Firmware برای مشتریان دارای لایسنس Sophos Firewall رایگان است، بهره‌مندی از مزایای هر انتشار جدید، بدون هزینه اضافی امکان‌پذیر است.
جمع‌بندی
انتشار جدید MR3 برای نسخه 22 ضمن افزودن کنترل انعطاف‌پذیرتر برای Site-to-site IPsec VPN، طیفی از اصلاحات امنیتی و پایداری را نیز ارائه می‌دهد. با برنامه‌ریزی ارتقا و توجه به ملاحظات سازگاری، می‌توانید در کوتاه‌ترین زمان از مزایای این نسخه بهره‌مند شوید و سطح ریسک عملیاتی شبکه را کاهش دهید.
