Sophos Central Firewall Reporting (CFR) ile firewall logları buluta gönderilir ve burada raporlanır. Saklama süresi lisansa bağlıdır. Ek lisansı olmayan firewall’da en fazla 7 gün, Xstream Protection paketinde en fazla 30 gün, ayrıca satın alınan CFR Advanced lisansında en fazla 365 gün veri tutulur. Bir olayı geriye dönük incelemeniz gerektiğinde ilk bakacağınız yer burasıdır, bu yüzden hangi katmanda olduğunuzu bilmeniz gerekir.
Üç katmanın farkı nedir?
Sophos’un dokümantasyonuna göre tablo şöyle:
| Katman | Saklama | Lisans |
|---|---|---|
| Ücretsiz | En fazla 7 gün | Aktif bir firewall aboneliği yeterli, ayrı anahtar yok |
| Xstream Protection paketi | En fazla 30 gün | Paketin içinde gelir |
| CFR Advanced | En fazla 365 gün | Ayrıca satın alınır |
Ücretsiz katmanda depolama alanı firewall modeline göre değişir. Hem azami depolama miktarı hem azami süre tanımlı ve hangisine önce ulaşılırsa o geçerli oluyor. Alan dolduğunda en eski veri ilk silinir. Yani “365 gün” bir garanti değil, üst sınırdır. Log üretimi çok yüksek bir firewall, süresi dolmadan alanı doldurabilir.
CFR Advanced, 100 GB’lık yığılabilir lisanslar halinde satılır. Her firewall için en az bir lisans gerekir ve lisanslar firewall’lar arasında paylaştırılamaz. Hangi lisansın nerede göründüğü de kafa karıştırabilir. Ücretsiz katman Sophos Central lisans ekranında görünmez, Xstream paketi “Firewall licenses” altında, satın alınan CFR Advanced ise “Product licenses” altında listelenir.
30 gün ile 365 gün arasında ne değişiyor?
Saklama süresi dışında özellikler büyük ölçüde aynıdır. Her iki Advanced sürümde de raporları PDF, HTML veya CSV olarak indirebilir, rapor zamanlayıp kaydedebilirsiniz. Zamanlanmış ve grup raporları ücretsiz katmanda yoktur.
Pratik fark denetim ve olay incelemesinde çıkar. Bir fidye yazılımı vakasında saldırganın ağa ilk girdiği tarih çoğu zaman haftalar öncesine gider. Siber sigorta veya 7545 sayılı Siber Güvenlik Kanunu kapsamındaki bir inceleme için de log isteyen taraf genellikle 7 günle yetinmez. Böyle bir yükümlülüğünüz varsa ücretsiz katmana güvenmeyin. Düzenleme veya sigorta poliçesinin tam olarak kaç gün istediğini kendi metninizden teyit edin, çünkü bu sürenin kaynağı Sophos değil sizin sözleşmeniz veya mevzuatınızdır.
CFR’yi firewall’da nasıl açarsınız?
Sophos’un adımları şöyle ilerliyor:
- Firewall’ın Sophos Central’a kayıtlı olduğunu Central synchronization sayfasında kontrol edin.
- Sophos Central services kapalıysa açın, açıksa Configure’a tıklayın.
- Firewall Management and Reporting penceresinde Use Sophos Central reporting seçeneğini işaretleyip Apply’a basın.
- Sophos Central’da Firewall Management > Firewalls altında, yeni kaydolan firewall’ın yanındaki Accept services düğmesine tıklayın.
Veri yaklaşık beş dakika içinde ulaşmaya başlar. Hangi log türlerinin buluta gideceğini siz seçersiniz. Avanet’in rehberi uygulama kontrolü, IPS, ATP, VPN ve sistem olaylarını sayıyor. Gereksiz log türünü göndermemek depolama alanını da uzatır. Menü adları sürüme ve Sophos Central’ın Fusion’a geçişine göre değişebiliyor, kendi ekranınızdaki karşılığa bakın. Konsol hakkında genel bilgi için Sophos Central yazımıza göz atabilirsiniz.
HA kurulumda kaç lisans gerekir?
Sophos’un lisans sayfasına göre tek bir raporlama lisansı, aktif-pasif veya aktif-aktif olsun, tüm HA kümesini kapsar. HA kurulumunun lisans gereksinimini ayrıca ele aldık. Dikkat edilecek nokta, lisansı kümedeki her cihaza değil kümeye atamaktır.
Lisansı geri alırsanız ne olur?
Sophos, firewall’dan tüm raporlama lisanslarını geri aldığınızda cihazın temel katmana döndüğünü ve saklanan log ile raporların silindiğini belirtiyor. Lisansı başka bir firewall’a aktarmayı düşünüyorsanız önce gerekli raporları dışa aktarın.
Hangi kurum hangi katmanı seçmeli?
- Ücretsiz katman: Ağı günlük izleyen, geriye dönük inceleme ihtiyacı olmayan küçük yapılar için yeterli. Bir vakada 7 gün çoğu zaman azdır.
- Xstream’in 30 günü: Aylık raporlama ve yönetim sunumu için işe yarar. Zaten Xstream Protection aldıysanız ek maliyet yoktur.
- CFR Advanced: Denetim, sigorta veya mevzuat nedeniyle aylarca log tutmanız gerekiyorsa. Log hacmi yüksek firewall’da 100 GB’lık lisansları artırmanız gerekebilir. Depolama ihtiyacını Sophos’un depolama tahmin aracıyla hesaplayın.
Logları kendi syslog sunucunuza göndermek de seçenek. CFR’nin avantajı Sophos Central içindeki raporlama ve XDR ile MDR sorgularının aynı veriyi kullanabilmesi. Şirket içinde ayrı bir sunucu işletmek istemiyorsanız bulut tarafı daha az iş çıkarır.
Firewall’ınızın hangi pakette olduğunu bilmiyorsanız lisans yenileme sayfasından seri numarasıyla sorgulatabilir, 365 günlük saklama için fiyat almak isterseniz teklif alın sayfasını kullanabilirsiniz. Cihaz değişimi planlıyorsanız Sophos Firewall ürün sayfasına bakın.
Sık sorulan sorular
CFR için ayrı lisans anahtarı gerekir mi? Ücretsiz katmanda gerekmez, aktif firewall aboneliği ve bir onay kutusu yeterlidir. 365 güne çıkmak için CFR Advanced satın alınır.
Xstream aldım, 365 gün saklanır mı? Hayır. Xstream paketindeki Advanced hakkı son 30 günle sınırlıdır. 365 gün için ayrı CFR Advanced lisansı gerekir.
Alan dolarsa ne olur? En eski veri ilk silinir. Süre limiti ile depolama limitinden hangisi önce dolarsa o geçerli olur.
İki cihazlı HA kümesi için iki lisans mı alacağım? Hayır. Sophos’a göre bir lisans tüm HA kümesini kapsar.
Xen Bilişim bu konuda ne yapar? Xen Bilişim bağımsız bir Sophos iş ortağıdır. Lisans ve yenileme için teklif alın sayfasından ulaşabilirsiniz.
Kaynaklar: Sophos dokümantasyonunda Central Firewall Reporting depolama, SSS ve lisans sayfaları ile “Turn on firewall reporting” yönergesi.