Briefing Executivo: Sophos Firewall v23 EAP1 — Governança Operacional e Preparação para o GA

Sumário Executivo

A versão Sophos Firewall OS v23 entrou em fase de Early Access Program (EAP1), trazendo mais de 30 recursos e melhorias distribuídos em cinco eixos estratégicos. Para executivos de Tecnologia e Segurança da Informação (CISOs, Heads de TI e Gestores de Infraestrutura), o v23 representa um avanço expressivo em relação à postura Secure by Design, resiliência de cluster, automação via REST API e governança do uso de Inteligência Artificial Generativa.

No entanto, a introdução do EAP1 exige governança rigorosa. Versões EAP não devem ser instaladas em ambientes de produção. O objetivo deste briefing é detalhar as inovações tecnológicas do v23, mapear os problemas operacionais e vetores de risco mitigados pela atualização, indicar as limitações registradas nos fóruns oficiais e apresentar o roadmap recomendado pela SN Informática para preparar a operação até o lançamento da versão final (General Availability — GA), garantindo continuidade de negócios e zero impacto na produção.

1. Contexto Tecnológico e Ciclo EAP

O Ciclo EAP → GA

O ciclo Early Access permite que organizações avaliem novas funcionalidades, testem integrações e forneçam feedback direto aos times de desenvolvimento da Sophos através do botão dedicado localizado na interface web do firewall. O suporte técnico durante a fase EAP é prestado exclusivamente pelos fóruns da Sophos Community. A Sophos não divulgou data oficial de lançamento para o GA.

Evolução da Postura Secure by Design (do v22 ao v23)

Enquanto a versão v22 elevou os padrões de segurança da plataforma, o v23 expande a filosofia Secure by Design ao endereçar a visibilidade proativa de atualizações e a proteção da camada de rede e resolução de nomes:

• DNS Protection Integrado: Simplificação da implantação com ativação via toggle único. Suporte nativo a DNS over HTTPS (DoH) (com provedor Sophos ou genérico) para criptografar requisições e evitar interceptação/adulteração.
• DNSSEC: Implementação de extensões de segurança com validação da cadeia de confiança criptográfica (registros DNSKEY e DS) para autencitar respostas DNS e impedir ataques de cache poisoning e spoofing.
• Visibilidade de Hotfixes: Exposição transparente de correções over-the-air aplicadas sem downtime, detalhando CVE ID, descrição, severidade, data de aplicação e link do advisory.
• Evolução de Roteamento: Atualização do mecanismo de roteamento para uma versão moderna do FRR, console unificado de protocolos e introdução de suporte experimental a BFD (Bidirectional Forwarding Detection) para BGP e rotas estáticas.
• Active Threat Response Expandido: Geração de alertas por eventos de NDR (NDR Essentials / NDR Active) sem isolar o endpoint ou colocá-lo forçadamente em RED Heartbeat, mantendo a visibilidade sem interromper a operação do usuário.

Os Cinco Eixos Principais do v23

1. IA e Automação: Governança de ferramentas GenAI, assistente de IA no Sophos Fusion e REST API baseada em tokens.
2. Gestão e Resiliência: Nova tabela de regras, HA com monitoramento de hardware (SSD) e detecção de falha em 300 ms.
3. Secure by Design: DoH, DNSSEC, visibilidade total de hotfixes de segurança e evolução do motor de roteamento.
4. Identidade e Acesso: Suporte híbrido ao Entra ID, integração OIDC com Google Workspace e MFA seguro via e-mail.
5. Escala e Rede: WAF re-arquitetado com Apache Event MPM, DHCP no novo control plane e mDNS reflector dual-stack.

2. Problemas Operacionais e do Vetor de Ataque Mitigados pelo v23

A tabela abaixo relaciona os problemas enfrentados nas operações atuais aos recursos de solução implementados no SFOS v23:

3. Arquitetura da Solução e Mitigações Técnicas

IA e Automação Controlada

• REST API & Guia Interativo: A API operada em Administration > API access adota o padrão OpenAPI 3.0. O firewall inclui um guia interativo embutido que permite aos desenvolvedores e engenheiros inspecionar schemas de requisição/resposta, explorar endpoints e testar chamadas diretamente na interface.
• Sophos Firewall AI Assistant: Hospedado no Sophos Fusion, o assistente processa consultas em linguagem natural. Em sua Fase 1, atua estritamente em modo somente leitura. A única exceção de escrita é a criação de regras de firewall por instrução: a regra criada nasce obrigatoriamente desabilitada e posicionada no final da tabela, exigindo revisão manual e ativação por um administrador humanizado.

[ Solicitação em Linguagem Natural ] 
                │
                ▼
[ Sophos Firewall AI Assistant (Sophos Fusion) ]
                │
                ▼
[ Rascunho da Regra de Firewall ] ──> (Sempre Desabilitada / Última da Tabela)
                │
                ▼
[ Revisão Manual e Ativação pelo Administrador ]

Resiliência de Infraestrutura e High Availability (HA)

• Monitoramento de Hardware (SSD): O cluster monitora proativamente a saúde do SSD e executa o failover automático caso haja degradação do armazenamento do nó ativo.
• Keepalive de 300 ms e Heartbeat Isolado: A detecção de falha entre os pares caiu de 4.000 ms para 300 ms (13 vezes mais rápida). O tráfego de heartbeat passa a trafegar por um caminho de processamento priorizado e isolado do pipeline de dados. O agendamento adaptativo aumenta a prioridade do heartbeat à medida que a carga do sistema sobe, prevenindo failovers falsos causados por picos de CPU, volume de tráfego ou ataques de DoS.

Escala de Aplicação e Serviços de Rede

• WAF Re-arquitetado (Apache Event MPM): Substitui a alocação fixa de threads por processamento de tarefas paralelas. O limite padrão de regras expandiu para 100 (podendo ser ampliado para até 200 regras).
• Ações por Caminho (Site Path): Cada entrada pode conter até 128 caminhos com ações individuais configuráveis:
  • Protect: Inspeção standard do WAF.
  • Block: Retorno estático de HTTP 403.
  • Redirect: Redirecionamento configurável de URL (protocolo, host, porta e caminho).
  • Passthrough: Passagem direta de WebSocket sem inspeção WAF.
• DHCP no Control Plane: Processamento mais rápido para scopes grandes, ampliação de limites de static bindings (IP-MAC) e migração de opções avançadas (antes restritas à CLI) diretamente para a UI.
• Conectividade IPv6 e Cloud: Suporte a IPv6 IPoE e tunelamento 4in6 (Xpass/CrossPass no Japão) com DDNS compatível com VNE; suporte oficial para implantação da imagem virtual no IONOS Cloud via modelo Bring-Your-Own-Image (BYOI).

4. Limites e Esclarecimentos do EAP1 (Fórum Oficial Sophos)

Com base nas respostas oficiais publicadas pela equipe da Sophos (incluindo declarações do gerente de produto Jubin no fórum da Sophos Community), as seguintes limitações técnicas e escopos operacionais devem ser considerados para o EAP1:

• WAF sem HTTP/2: O WAF nesta versão do EAP1 não possui suporte a HTTP/2 nem gRPC.
• Escopo da REST API: A REST API no v23 atua exclusivamente no nível de configuração. Ela não expõe métricas ou status em tempo real (como o status de links SD-WAN). As APIs para estatísticas de HA e dados de telemetria do appliance estão em desenvolvimento e previstas para o v23 MR1.
• Linked NAT: Não possui API dedicada própria nesta versão (permanece como um fluxo exclusivo da UI).
• PPPoE IPv6: Não faz parte do escopo de entregas do ciclo v23.0.
• Integração Okta: Não há integração nativa direta como provedor IdP no firewall; a autenticação com Okta continua sendo realizada via RADIUS.
• Caminho de Upgrade Incompatível: Firewalls rodando a versão v22 MR3 não sobem para o v23 EAP1.
• Descontinuação do eDirectory: O suporte ao eDirectory foi permanentemente removido no SFOS 23.
• Suporte Restrito: O suporte durante o EAP é oferecido unicamente por meio dos fóruns da comunidade Sophos. Não há data de GA divulgada pela fabricante.

5. Impacto no Negócio e Retorno sobre o Investimento (ROI)

6. Recomendações Estratégicas e Roadmap de Preparação

Recomendação Oficial da SN Informática (Sophos Platinum Partner / Sophos Firewall Partner): A avaliação do SFOS v23 EAP1 deve ser conduzida estritamente em ambiente de laboratório e homologação (utilizando appliances virtuais ou equipamentos de reserva). Nunca instale a versão EAP1 em ambientes de produção.

Checklist de Prontidão Operacional para o GA

Para garantir que a transição para a versão GA ocorra sem riscos para a operação, a SN Informática recomenda a execução das seguintes etapas preparatórias:

1. Inspecionar Provedores de Identidade Legados: Mapear e migrar ambientes que ainda utilizem eDirectory, visto que o suporte foi totalmente descontinuado no SFOS 23.
2. Adequação de Versões e Cadência de Upgrade: Atentar para o fato de que ambientes atualizados para o v22 MR3 não possuem migração direta para o v23 EAP1. Planejar a janela de upgrade do ambiente de produção diretamente para o GA quando lançado.
3. Inventário de Hardware e HA: Cadastrar os equipamentos e avaliar a integridade dos SSDs e links de heartbeat atuais para tirar proveito da arquitetura hardware-aware e do tempo de resposta de 300 ms.
4. Definição de Políticas de Governança de API: Estabelecer a política corporativa para geração de chaves de API, definindo limites de expiração rígidos e a lista de IPs autorizados para chamadas automatizadas.
5. Ajuste de Políticas de IA Generativa: Desenhar a matriz de controle de acesso para ferramentas GenAI utilizando a nova categoria web e o enforçamento no nível de rede/DNS antes do rollout do firewall.
6. Agendamento de Firmware no Sophos Fusion: Estruturar o plano de rollout em etapas e definir janelas recorrentes de manutenção para instâncias gerenciadas centralmente.

Mapeamento e Roadmap de Adoção com a SN Informática

A SN Informática atua na avaliação técnica em laboratório, mapeando as dores específicas da sua infraestrutura e estruturando o roadmap completo de transição para o GA — incluindo mapeamento de pré-requisitos, definição de janelas de manutenção, plano de rollback e suporte contínuo à operação.

Para validar o Sophos Firewall v23 em ambiente controlado e preparar sua infraestrutura com segurança, entre em contato com nosso time de engenharia:

👉 snmssp.com/contato