Sophos Firewall v22 MR1: NDR, VPN-Fixes und wichtige Upgrade-Hinweise
Das Wichtigste in 30 Sekunden
Zusätzliche kuratierte Erkennungsmuster sollen verdächtigen Netzwerkverkehr und aktive Angreifer besser erkennen.
Erweiterte Erkennung von interaktiven Shells, Reverse Shells und zugehörigem Command-and-Control-Verkehr.
Mehrere policy-based-IPsec-Probleme wurden korrigiert. Legacy Remote Access IPsec muss vor dem Upgrade geprüft werden.
Verbesserte SSO-Session-Verwaltung und bessere Nachvollziehbarkeit zentraler Konfigurationsänderungen.
Der PPPoE-Performance-Bug NC-167806 wurde laut Sophos-Community behoben; weitere Praxispunkte bleiben prüfenswert.
Konfigurationen lassen sich browserbasiert analysieren, vergleichen, bearbeiten und für weitere Verarbeitung exportieren.
Sophos Firewall v22 MR1: Was bringt das Maintenance Release?
Mit Sophos Firewall v22 MR1 steht das erste Maintenance Release für SFOS v22 zur Verfügung.
Nachdem Sophos Firewall v22.0 GA bereits mehrere technische Änderungen und bekannte Fallstricke mit sich brachte, liefert MR1 wichtige Nachbesserungen, neue Erkennungsfunktionen und zusätzliche Verbesserungen für Administration und Compliance.
Besonders relevant sind die neuen Detection-and-Response-Funktionen, Korrekturen im VPN-Bereich, Verbesserungen bei Microsoft Entra ID, die erweiterte Auditierbarkeit über Sophos Central sowie Optimierungen bei PPPoE und Storage.
Direkt zu den wichtigsten Neuerungen
NDR, XDR & Detection and Response
Neue Erkennung: NDR Active Threat Intelligence
Eine der wichtigsten Neuerungen in SFOS v22 MR1 ist NDR Active Threat Intelligence.
Sophos integriert hierbei iSensor-IPS-Technologie aus der Secureworks-Taegis-Plattform. Ziel ist es, zusätzliche kuratierte IPS-Erkennungsmuster bereitzustellen, die bösartigen Netzwerkverkehr und aktive Angreifer besser identifizieren können.
Die neuen NDR-Erkennungen werden unter folgendem Menüpunkt aktiviert:
Anschließend müssen sie über die IPS-Einstellungen in den jeweiligen Firewall-Regeln berücksichtigt werden.
Gerade für Umgebungen mit Sophos XDR oder Sophos MDR sind zusätzliche Netzwerkereignisse interessant, da sie in Untersuchungen, Korrelationen und Analystenbewertungen einfließen können.
Passende Sophos-NDR-Lizenzen finden Sie ebenfalls im UTMshop.
Secure by Design: XDR Sensor erkennt Shell-Aktivitäten
Mit SFOS v22 wurde bereits ein neuer Sophos XDR Linux Sensor eingeführt. MR1 erweitert dessen Erkennungsfunktionen.
Laut Sophos kann der Sensor nun auch Kompromittierungen erkennen, die aus interaktivem Shell-Zugriff oder Reverse-Shell-Zugriffen resultieren.
Zusätzlich kann zugehöriger TCP- oder UDP-Command-and-Control-Datenverkehr blockiert werden.
Reverse Shells werden in realen Angriffsszenarien häufig eingesetzt, damit ein kompromittiertes System eine Verbindung aus dem Zielnetz zum Angreifer aufbauen kann.
Die Firewall wird dadurch stärker in Detection-and-Response-Prozesse eingebunden und kann zusätzliche Hinweise auf laufende Kompromittierungen liefern.
NDR Essentials auf weiteren Sophos-Firewall-Plattformen
Mit v22 MR1 unterstützt NDR Essentials laut Sophos nun alle Sophos-Firewall-Plattformen.
Dazu gehören auch virtuelle, Cloud- und Software-Firewalls.
VPN & Remote Access
Legacy Remote Access IPsec VPN wird nicht mehr unterstützt
Im VPN-Bereich bringt SFOS v22 MR1 wichtige Korrekturen, aber auch eine entscheidende Änderung:
Der alte Legacy Remote Access IPsec VPN wird nicht mehr unterstützt.
Firewalls mit einer entsprechenden Legacy-Konfiguration können laut Sophos nicht auf SFOS 22.0 MR1 oder spätere Versionen aktualisiert werden.
Vor dem Upgrade muss deshalb geprüft werden, ob diese ältere Remote-Access-Konfiguration noch vorhanden ist.
Policy-based IPsec: mehrere Probleme korrigiert
MR1 behebt mehrere Probleme bei policy-based IPsec VPNs, die nach SFOS v22.0 GA identifiziert wurden.
Genannt werden unter anderem:
- NC-177450
- NC-174800
- NC-177136
- NC-174304
- NC-172504
- NC-173054
- NC-176083
Für Administratoren mit bestehenden IPsec-Umgebungen ist dieser Bereich besonders relevant.
Nach dem Update sollten bestehende VPN-Verbindungen und gegebenenfalls vorhandene NAT- und SD-WAN-Abhängigkeiten gezielt getestet werden.
Sophos Connect 2.0 für macOS
Mit SFOS v22 MR1 unterstützt Sophos Connect 2.0 für macOS nun Remote Access SSL VPN-Verbindungen.
Das ist insbesondere für Unternehmen relevant, die macOS-Geräte produktiv einsetzen und Remote-Zugriffe über SSL VPN bereitstellen.
Identity, Entra ID & Audit-Logs
Audit-Logs über Sophos Central
Eine sehr praxisrelevante Neuerung betrifft die Nachvollziehbarkeit zentral vorgenommener Änderungen.
Werden Konfigurationsänderungen an einer einzelnen Firewall über Sophos Central durchgeführt, wird nun die Sophos-Central-Benutzeridentität protokolliert.
Die Audit-Informationen sind im Sophos Firewall Log Viewer sowie in Sophos Central Logs und Reports verfügbar.
Bei mehreren Administratoren oder Partnerzugriff lässt sich besser nachvollziehen, welcher Benutzer eine zentrale Konfigurationsänderung vorgenommen hat.
Sophos nennt in diesem Zusammenhang ausdrücklich die Unterstützung von NIS2 und vergleichbaren Compliance-Anforderungen.
Microsoft Entra ID SSO: verbesserte Session-Verwaltung
SFOS v22 MR1 enthält außerdem eine Verbesserung für Microsoft Entra ID SSO.
Die Session-Verwaltung wurde erweitert, damit Conditional-Access-Richtlinien erneut bewertet werden, wenn SSO-Sitzungen wiederverwendet werden.
Dadurch soll verhindert werden, dass MFA-Anforderungen durch wiederverwendete SSO-Sessions umgangen werden.
Performance, Storage, Wireless & Netzwerk
Storage- und Netzwerkoptimierungen
Auch unter der Haube bringt SFOS v22 MR1 Verbesserungen.
Sophos nennt eine optimierte SSD-Nutzung und reduzierte Schreiboperationen, um die SSD-Lebensdauer langfristig zu verbessern.
Zusätzlich können MTU- und MSS-Werte von WLAN-Schnittstellen über bestehende CLI-Befehle angepasst werden.
PPPoE Performance-Bug NC-167806
Ein in der Praxis diskutierter Punkt war der PPPoE-Durchsatz beziehungsweise die TX-Warteschlangenlänge.
Im Sophos-Community-Feedback wurde von Sophos-Seite bestätigt, dass NC-167806 behoben wurde.
Dabei ging es um ein PPPoE-Performance-Problem, bei dem eine TX Queue Length von 3 zu Paketverlusten und schlechter Upload-Geschwindigkeit führen konnte.
Für PPPoE-WAN-Verbindungen ist dieser Fix besonders interessant, wenn vorher manuelle Anpassungen wie txqueuelen notwendig waren.
Access Points nach dem Update prüfen
In der Sophos Community wurde außerdem berichtet, dass APX- und AP6-Access-Points nach dem Update teilweise neu gestartet werden mussten, damit sich Endgeräte wieder verbinden konnten.
STAS-Thema weiterhin beobachten
Ebenfalls diskutiert wurde ein STAS-Authentifizierungsproblem mit der Kennung NC-176222.
Dabei konnte es nach SFOS 22.0 GA zu zufälligen „Not logged in“-Browsing-Problemen kommen.
In der Community wurde darauf hingewiesen, dass hierzu noch keine abschließende vollständige Schlussfolgerung vorliegt.
WAN-IP-Wechsel und ARP-Verhalten
In der Community wurde außerdem ein Verhalten diskutiert, bei dem sich eine WAN-Schnittstelle nicht zuverlässig aktualisiert, wenn ein vorgeschaltetes Modem seine IP-Adresse ändert.
Das Thema wurde mit ARP-Verhalten beziehungsweise Race Conditions in Verbindung gebracht.
Als möglicher Workaround wurde ein ARPing-Skript genannt.
Für Umgebungen mit dynamischem WAN-Adresswechsel, vorgeschaltetem Modem oder vergleichbaren Szenarien sollte das Verhalten nach dem Update beobachtet werden.
Sophos Firewall Config Studio V2
Mit Sophos Firewall Config Studio V2 stellt Sophos eine browserbasierte Weiterentwicklung des bisherigen Sophos Firewall Configuration Viewers bereit.
Das Tool ermöglicht laut Sophos unter anderem:
| Funktion | Praxisnutzen |
|---|---|
| Konfigurationsreport | Regeln, Richtlinien und Einstellungen strukturiert anzeigen |
| Vergleich | Zwei Konfigurationen miteinander vergleichen |
| Änderungen erkennen | Hinzugefügte, entfernte, geänderte und unveränderte Objekte erkennen |
| Bearbeitung | Konfigurationen im Browser bearbeiten |
| Export | Daten für Import, API- oder cURL-Nutzung vorbereiten |
Bei Migrationen, Firewall-Audits, Qualitätssicherung oder größeren Projekten kann der Vergleich zweier Konfigurationen Änderungen deutlich schneller sichtbar machen.
Quelle: Sophos Firewall Config Studio V2
Upgrade auf SFOS v22 MR1 vorbereiten
Kompatibilität und Upgrade-Pfade
Sophos Firewall v22 MR1 ist laut Sophos Release Notes als 22.0 MR1 Build 490 verfügbar.
Ein direktes Upgrade ist von mehreren vorherigen SFOS-Versionen möglich.
| Ausgangsversion | Einordnung |
|---|---|
| 22.0 GA Build 411 | Direkter Upgradepfad auf MR1 |
| 21.5 MR2 Build 323 | Direkter Upgradepfad auf 22.0 MR1 Build 490 |
| 21.5 MR1 Build 261 | In der Upgrade-Tabelle berücksichtigt |
| 21.5 GA Build 171 | In der Upgrade-Tabelle berücksichtigt |
| Weitere unterstützte ältere Versionen | Je nach Sophos-Upgrade-Tabelle auch aus 21.0, 20.0, 19.5 und 19.0 |
XG- und SG-Hardware prüfen
SFOS 22.0 und spätere Versionen unterstützen keine älteren XG- und SG-Series-Hardware-Appliances mehr.
Wer noch entsprechende Hardware betreibt, sollte deshalb vor der Update-Planung prüfen, ob eine Migration auf eine aktuelle Plattform erforderlich ist.
Aktuelle Hardware finden Sie bei den Sophos XGS Firewalls im UTMshop .
Upgrade-Checkliste vor SFOS v22 MR1
| Bereich | Vor dem Upgrade prüfen |
|---|---|
| Legacy IPsec | Prüfen, ob Legacy Remote Access IPsec VPN noch verwendet wird und gegebenenfalls vorher migrieren |
| VPN-Topologien | Policy-based und route-based IPsec, NAT und SD-WAN-Abhängigkeiten kontrollieren |
| STAS | Benutzererkennung nach dem Upgrade gezielt testen |
| PPPoE | Upload-Performance und gegebenenfalls bestehende Workarounds überprüfen |
| Sophos Wireless | APX-/AP6-Verbindungen und Client-Assoziierungen nach dem Neustart kontrollieren |
| Sophos Central | Zentrale Verwaltung und Protokollierung von Änderungen kontrollieren |
| Backup | Aktuelle Konfigurationssicherung erstellen und Wartungsfenster einplanen |
Welche Neuerung ist für welche Umgebung besonders interessant?
| Umgebung | Besonders relevant |
|---|---|
| XDR-/MDR-Umgebung | NDR Active Threat Intelligence und zusätzliche Detection-and-Response-Signale |
| IPsec-Umgebung | VPN-Fixes und Prüfung auf Legacy Remote Access IPsec |
| Microsoft-Umgebung | Entra ID SSO, Conditional Access und MFA |
| Compliance / Audit | Benutzerzuordnung bei Änderungen über Sophos Central |
| PPPoE-WAN | Fix für NC-167806 und Prüfung der WAN-Performance |
| Migration / Audit | Sophos Firewall Config Studio V2 |
| Sophos Wireless | APX-/AP6-Funktion und Client-Verbindungen nach dem Update prüfen |
Unsere Empfehlung
Besonders interessant sind die zusätzlichen NDR-Funktionen, die verbesserte Auditierbarkeit über Sophos Central, die Korrekturen im VPN-Bereich, die Verbesserungen bei Microsoft Entra ID SSO sowie der PPPoE-Fix.
Vor dem Update sollte jedoch zwingend geprüft werden, ob noch Legacy Remote Access IPsec VPN verwendet wird.
Auch Umgebungen mit STAS-Authentifizierung, PPPoE-WAN-Anbindungen, Sophos Wireless oder komplexeren VPN-Strukturen sollten das Update kontrolliert durchführen.
Ein Firewall-Update sollte als geplanter Change mit Backup, Wartungsfenster und anschließender Funktionskontrolle behandelt werden.
Häufige Fragen zu Sophos Firewall v22 MR1
Ist SFOS v22 MR1 nur ein kleines Wartungsupdate?
Nein. Neben Fehlerkorrekturen enthält MR1 auch neue beziehungsweise erweiterte Detection-and-Response-Funktionen, Verbesserungen bei Audit-Logs, Entra ID SSO und Config Studio.
Was ist vor dem Upgrade besonders wichtig?
Die wichtigste Prüfung betrifft Legacy Remote Access IPsec VPN. Eine entsprechende Alt-Konfiguration muss vor dem Upgrade berücksichtigt beziehungsweise migriert werden.
Wurde das PPPoE-Performance-Problem behoben?
Laut Feedback in der Sophos Community wurde das unter NC-167806 geführte PPPoE-Performance-Problem behoben.
Welche Vorteile bringt NDR Active Threat Intelligence?
Die Funktion ergänzt zusätzliche kuratierte IPS-Erkennungsmuster, um verdächtigen Netzwerkverkehr und Hinweise auf aktive Angreifer besser sichtbar zu machen.
Ist NDR automatisch in allen Firewall-Regeln aktiv?
Nein. Die entsprechenden Erkennungen müssen über die vorgesehenen Einstellungen aktiviert und in den jeweiligen Firewall-Regeln berücksichtigt werden.
Sollten Access Points nach dem Upgrade geprüft werden?
Ja. Aufgrund von Community-Rückmeldungen ist es sinnvoll, APX-/AP6-Access-Points und Client-Verbindungen nach dem Update in die Funktionskontrolle einzubeziehen.
Wie geht es nach SFOS v22 MR1 weiter?
Mit Sophos Firewall OS v23 befindet sich inzwischen bereits die nächste große SFOS-Version im Early Access Program.
Zu den dort vorgestellten Neuerungen gehören unter anderem die neue REST API, der AI Firewall Assistant, Änderungen an High Availability, DNS und Identity sowie ein neues WAF-Modell.
Fazit: SFOS v22 MR1 bringt mehr als reine Fehlerkorrekturen
Sophos Firewall v22 MR1 ist mehr als ein kleines Wartungsrelease.
Das Update erweitert Sicherheits- und Detection-and-Response-Funktionen, verbessert die Nachvollziehbarkeit zentraler Änderungen und behebt mehrere praxisrelevante Probleme.
- NDR Active Threat Intelligence erweitert die Netzwerkerkennung.
- Der XDR Linux Sensor erkennt zusätzliche Shell-Aktivitäten.
- Mehrere policy-based-IPsec-Probleme wurden korrigiert.
- Sophos Connect 2.0 für macOS unterstützt Remote Access SSL VPN.
- Microsoft Entra ID SSO erhält eine verbesserte Session-Verwaltung.
- Audit-Logs über Sophos Central werden aussagekräftiger.
- PPPoE-, SSD- und Netzwerkbereiche wurden optimiert.
- Config Studio V2 erweitert Analyse- und Vergleichsmöglichkeiten.
Entscheidend bleibt eine saubere Vorbereitung: Legacy IPsec, STAS-Abhängigkeiten, PPPoE-Anbindungen, Wireless und Plattformkompatibilität sollten vor dem produktiven Rollout geprüft werden.
Weiterführende UTMshop-Produkte
Aktuelle Sophos-Firewall-Hardware für Unternehmen. Sophos XDR
Detection and Response für Endpoints und weitere Datenquellen. Sophos MDR
Managed Detection and Response mit Sophos-Experten. Sophos NDR
Network Detection and Response für zusätzliche Netzwerktransparenz.
Links zur weiteren Recherche
- Sophos Release News: Sophos Firewall v22 MR1 is Now Available
- Offizielle Sophos Release Notes
- Sophos Community: v22.0 MR1 Feedback and Experiences
- Sophos Firewall Config Studio V2
- Unser Praxis-Check: Sophos Firewall v22.0 GA – wichtige Änderungen & bekannte Fallstricke
- Sophos Firewall v23: Die wichtigsten Neuerungen im Überblick
Unterstützung beim Sophos-Firewall-Upgrade
Benötigen Sie Unterstützung bei der Prüfung Ihrer Sophos-Firewall-Umgebung vor dem Update auf SFOS v22 MR1?
Unser technisch geschultes Team unterstützt Sie bei einem strukturierten Kompatibilitäts-Check, der Bewertung Ihrer VPN-Konfigurationen und der Vorbereitung des Updates.
Termin für technische Unterstützung buchen
Kontakt
Zertifizierung:
- Sophos MDR Sales Consultant
- Sophos Firewall Sales Consultant
- Sophos Central Sales Consultant
- Sophos Central Engineer
- Sophos Central Technician
- Sophos Central Architect
- Sophos Firewall Engineer
- Sophos Firewall Technician
- Sophos Firewall Architect