Sophos Firewall’da üç ana abonelik paketi vardır: Standard Protection, Xstream Protection ve Epic Protection. Farkı tek cümleyle özetlemek gerekirse: Standard temel ağ ve web korumasını, Xstream buna sıfır-gün koruması ile Sophos Central yönetimini, Epic ise bunların üstüne e-posta ve web sunucusu korumasını ekler. Doğru paketi seçmek iki yönden önemli; hem korumasız bir katman bırakmamak hem de hiç kullanmayacağınız modüller için ödeme yapmamak.
Firewall satın alma ve yenileme sürecinde en çok kafa karıştıran nokta, paket adlarının neyi kapsadığını bilmemek. Aşağıda her katmanı, taban lisansın ne verdiğini ve hangi kurum profilinin hangi paketi seçmesi gerektiğini ele alıyoruz. Not: bu paketler güncel Sophos Firewall (XGS) donanımı içindir; XG serisi ve SG UTM için destek sona erdiğinden yeni abonelikler XGS üzerinden yapılandırılır.
Taban lisans (Base License) neyi kapsar?
Her Sophos Firewall bir taban lisansla çalışır. Taban lisans; ağ yönlendirme, kablosuz yönetimi, Xstream mimarisi, sınırsız uzaktan erişim VPN, site-to-site VPN ve temel raporlamayı içerir. Donanım cihaz aldığınızda taban lisans kutuyla birlikte gelir; sanal veya bulut kurulumlarda ayrı satın alınır.
Buradaki kritik ayrım şu: taban lisans cihazı çalıştırır ama tehdit koruması vermez. IPS (saldırı önleme sistemi), web filtreleme, sandboxing gibi güvenlik motorları abonelik paketleriyle gelir. Taban lisans süresi dolan bir cihaz çalışmaya devam eder fakat firmware güncellemesi ve teknik destek alamaz; koruma abonelikleri biterse ilgili motor devre dışı kalır.
Standard Protection: temel katman
Standard Protection paketi taban lisansa şunları ekler:
- Network Protection — Xstream TLS ve DPI motoru, IPS ve Sophos X-Ops tehdit beslemeleriyle çalışan Active Threat Response
- Web Protection — web güvenliği, uygulama denetimi (application control) ve raporlama
- Enhanced Support — 7/24 destek erişimi ve firmware güncellemeleri
Standard, klasik UTM işlevlerini, IPS’i ve düzenli firmware akışını isteyen ama gelişmiş sandbox ve merkezi yönetime ihtiyaç duymayan kurumlar için makul bir başlangıç. Tek lokasyonlu, sınırlı sayıda kullanıcısı olan ve şifreli trafik analizini derinlemesine kullanmayacak işletmeler bu katmanla yetinebilir.
Xstream Protection: Sophos’un önerdiği paket
Xstream Protection, Standard’ın içerdiği her şeye ek olarak şunları getirir:
- Zero-Day Protection — makine öğrenmesi, sandboxing ve dosya analizi ile bilinmeyen tehditlerin yakalanması
- Central Orchestration — Sophos Central üzerinden SD-WAN/VPN orkestrasyonu ve merkezi firewall raporlaması
- DNS Protection — bulut tabanlı DNS koruması
Sophos, yeni firewall alımlarında doğrudan Xstream Protection paketini öneriyor; gerekçesi, paketin en geniş korumayı sunması ve zaman içinde eklenen yeni özelliklerin ek ücret olmadan pakete dahil edilmesi. Pratikte Xstream’i şu durumlarda değerlendirmek mantıklı: TLS inspection (şifreli trafik denetimi) devreye alınacaksa, indirmelerde ve web trafiğinde sıfır-gün koruması gerçekten kullanılacaksa, birden fazla firewall Sophos Central üzerinden yönetilecekse veya merkezi raporlama operasyonun bir parçasıysa.
Şifreli trafiğin ağ trafiğinin büyük bölümünü oluşturduğu günümüz koşullarında, TLS inspection ve sandbox’tan gerçek değer almak isteyen çoğu kurum için Xstream doğru başlangıç noktası.
Epic Protection: firewall üzerinde e-posta ve web sunucusu
Epic Protection, Xstream’in üstüne iki modül daha ekler:
- Email Protection — firewall üzerinde e-posta güvenliği
- Webserver Protection — web uygulaması güvenlik duvarı (WAF) işlevleri
Epic, mail güvenliğini veya WAF’ı doğrudan firewall üzerinde çalıştırmak isteyen kurumlar için. Ancak e-posta güvenliğini ayrı bir katman olarak, Microsoft 365 veya Google Workspace ile bütünleşik yürütmeyi tercih eden birçok kurum bu ihtiyacı firewall dışında Sophos e-posta güvenliği çözümüyle karşılıyor. Bu yüzden Epic paketi, mimarisi gerçekten firewall üzerinde e-posta/WAF çalıştırmayı gerektiren senaryolarda anlam kazanır; her kurum için varsayılan seçim değildir.
Modülleri tek tek almak mümkün mü?
Network Protection, Web Protection, Zero-Day Protection, Central Orchestration, Email Protection ve Webserver Protection bileşenleri ayrı ayrı da lisanslanabilir. Ancak modülleri tekil almak çoğu zaman paket almaktan daha pahalıya gelir ve yenileme takibini karmaşıklaştırır; her modülün ayrı bitiş tarihi olur. Birden fazla farklı tarihte biten abonelik yönetmek yerine paket seçmek, hem maliyet hem operasyon açısından genelde daha temizdir. Birden fazla lisansın bitiş tarihlerini hizalamak isteyenler için lisans yenileme tarafında co-term yaklaşımı bu karmaşayı ortadan kaldırır.
Hangi kurum hangi paketi seçmeli?
| Kurum profili | Uygun paket | Gerekçe |
|---|---|---|
| Tek lokasyon, temel koruma, sınırlı TLS analizi | Standard | IPS + web filtreleme yeterli; sandbox/merkezi yönetim ihtiyacı yok |
| TLS inspection, sandbox, çoklu firewall veya merkezi raporlama | Xstream | Sıfır-gün koruması ve Central orkestrasyon devrede |
| Firewall üzerinde e-posta güvenliği veya WAF çalıştıracak kurum | Epic | Email + Webserver Protection dahili gerekli |
Bu çerçeve bir başlangıç noktası; kesin öneri, kurumun endpoint sayısı, lokasyon yapısı, şifreli trafik oranı ve mevcut e-posta güvenliği mimarisi değerlendirildikten sonra netleşir. Kurum profilinize göre paket karşılaştırması ve güncel teklif için değerlendirme talebinizi iletebilirsiniz.
Yenileme sırasında paket değiştirmek
Mevcut aboneliğiniz biterken paketi yukarı taşımak (örneğin Standard’dan Xstream’e geçmek) mümkün. Yenileme, kurumun son bir yıldaki gerçek kullanım profilini gözden geçirmek için iyi bir fırsat; devreye hiç alınmamış modüller varsa aşağı, ihtiyaç doğmuş katmanlar varsa yukarı ölçeklenebilir. XG serisinden veya SG UTM’den geçiş yapan kurumlar içinse abonelik yapısı yeni XGS donanımına göre baştan planlanır.
Sık sorulan sorular
Standard ile Xstream arasındaki temel fark nedir? Xstream, Standard’ın tüm içeriğine ek olarak Zero-Day Protection (sandbox ve makine öğrenmesi), Central Orchestration ve DNS Protection ekler. Şifreli trafik denetimi ve merkezi yönetim isteyen kurumlar için ayrım burada belirginleşir.
Taban lisans (Base License) ayrı mı satın alınır? Donanım cihazlarda taban lisans kutuyla birlikte gelir. Sanal veya bulut kurulumlarda ayrı satın alınır. Taban lisans cihazı çalıştırır ancak tehdit koruma motorları abonelik paketiyle gelir.
TLS inspection için hangi paket gerekir? TLS inspection’dan tam verim almak, özellikle indirmelerde ve web trafiğinde sıfır-gün korumasını kullanmak istiyorsanız Xstream Protection önerilir; Zero-Day Protection bu pakette yer alır.
Mevcut aboneliğim biterken paketi yükseltebilir miyim? Evet. Yenileme sırasında Standard’dan Xstream’e ya da Xstream’den Epic’e geçilebilir. Yenilemeyi, gerçek kullanımınıza göre paketi yeniden boyutlandırmak için değerlendirmek en verimlisi.
Sophos Firewall abonelik yapısı ilk bakışta karmaşık görünse de karar üç soruya iner: taban koruma yeter mi, sıfır-gün ve merkezi yönetim gerekli mi, e-posta/WAF firewall üzerinde mi çalışacak. Kurum profilinize göre net bir paket önerisi ve fiyat çerçevesi için teklif alın; mevcut cihazınızın yenileme zamanı yaklaşıyorsa lisans yenileme sürecini birlikte planlayabiliriz.