Comprender y verificar el panel de Sophos DNS Protection

El panel de Sophos DNS Protection combina la comprobación de la configuración con un resumen operativo. Se abre en Sophos Fusion (antes Sophos Central) desde My Products > DNS Protection > Dashboard. Muestra el Setup Assistant, Usage summary, el historial DNS Protection traffic y Top domains (last seven days). Para conocer el servicio, las licencias y la configuración básica, consulta Sophos DNS Protection, incluido con Xstream Protection.

Los datos llevan un retraso aproximado de 15 a 25 minutos, por lo que una consulta de prueba reciente puede tardar en aparecer. El panel sirve para observar tendencias y el progreso de la configuración; View all y Logs & Reports permiten investigar consultas concretas.

Utilizar correctamente el Setup Assistant

Set up DNS Protection guía la configuración inicial, pero no es una prueba funcional completa:

1. Add locations abre My Products > DNS Protection > Locations. Ya existe una Default location; después, el asistente muestra el número de ubicaciones configuradas.
2. Set up your network abre Installers. Copia las DNS Protection IP addresses y, si hace falta, descarga el Root Certificate. A continuación, configura la red, el resolvedor o los dispositivos.
3. Al volver, Queries indica cuántas ubicaciones han enviado consultas. El valor abarca las ubicaciones activas de los últimos tres meses, por lo que puede incluir ubicaciones eliminadas recientemente.
4. En Add policy, Create policy abre My Products > DNS Protection > Policies; al volver, el asistente muestra el número de políticas.
5. Review logs abre My Products > DNS Protection > Logs & Reports, donde se comprueban ubicación, origen y política.
6. Deploy to devices abre My Products > DNS Protection > Policies > Endpoint policies. Este paso corresponde a Sophos Endpoint; una implementación solo de red no necesita una Endpoint policy.
7. Cuando Sophos detecta que se han completado los pasos, muestra Congratulations! Set up appears to be complete.

Hide oculta el asistente y Set up DNS Protection vuelve a mostrarlo. Ninguna de estas acciones modifica la configuración.

Recomendación de Avanet: no uses el mensaje de éxito como criterio de aceptación. Tras el retraso de procesamiento, confirma en Logs & Reports una consulta permitida y otra bloqueada de forma controlada desde cada ubicación relevante.

Interpretar Usage summary

Al seleccionar un contador de Usage summary se abre su informe de las últimas 24 horas:

• Total DNS queries: todas las consultas resueltas de todas las ubicaciones, tanto permitidas como bloqueadas. Un valor alto no constituye por sí solo un incidente.
• Security threats blocked: consultas bloqueadas por motivos de seguridad. Investiga pronto su origen y repetición.
• Policy violations blocked: consultas bloqueadas por tus políticas, sin incluir Security blocks. Un aumento puede ser intencionado o indicar una asignación incorrecta.
• Active computers: equipos activos durante las últimas 24 horas; solo aparece con Sophos Endpoint.
• Active locations: ubicaciones desde las que se recibió al menos una consulta. No garantiza disponibilidad continua.

Los contadores no se pueden sumar o restar directamente entre sí. Una señal útil es un volumen inesperado junto con la ausencia de ubicaciones previstas; compruébalo en informes detallados filtrados por ubicación. Si hay bloqueos sin tráfico de prueba previsto, revisa origen, dominio y política.

Leer DNS Protection traffic

El gráfico DNS Protection traffic muestra DNS query volume, es decir, el número de consultas durante 3 hours, 24 hours o 30 days. Permite comparar con Last week o Last month (4 weeks ago). Las vistas de 24 hours y 30 days también muestran el promedio diario del mes anterior.

• Una caída puede deberse a poca actividad, una avería de sede, un cambio en el reenvío DNS o una asignación errónea.
• Un pico puede proceder de actualizaciones, servicios cloud, una sede nueva o clientes defectuosos.
• Un total estable no descarta la pérdida de una ubicación.

El gráfico no es un monitor de disponibilidad. Usa View all para filtrar los informes por periodo y ubicación.

Evaluar Top domains (last seven days) y equipos protegidos

Top domain queries cubre siete días y separa Permitted domains, Security blocks y Policy blocks. Un dominio frecuente no es necesariamente sospechoso: sistemas operativos, CDN, productos de seguridad y aplicaciones SaaS generan muchas consultas. Valora categoría, finalidad empresarial, origen y momento. Rastrea los Security blocks repetidos hasta el dispositivo de origen; muchos Policy blocks pueden reflejar una regla eficaz o un bucle innecesario de reintentos.

Con Sophos Endpoint, DNS usage from protected computers muestra los siete equipos principales con Username, Device name or ID y consultas permitidas o bloqueadas. View all usa DNS usage by source para Permitted domains y Policy blocks, y High risk devices para Security blocks. Es una lista de prioridades, no un inventario completo.

Validar la configuración de forma segura

Para una prueba de bloqueo, nunca uses un dominio realmente malicioso ni una política de producción de amplio alcance:

1. Anota la asignación de política actual de la ubicación de prueba.
2. Usa una ubicación de prueba específica o un grupo piloto muy reducido. Asigna una política temporal con exactamente un dominio inocuo en una block domain list. No bloquees una categoría completa para usuarios de producción.
3. Desde ese mismo ámbito, consulta un dominio permitido conocido y el dominio de prueba inocuo.
4. Espera al menos 25 minutos. En Logs & Reports, verifica ubicación, origen, política y decisión para ambas consultas.
5. Comprueba que Total DNS queries, el contador de bloqueo y Active locations reaccionan de forma coherente. Con Sophos Endpoint, revisa también el informe de equipos.
6. Elimina la entrada de prueba y restaura la asignación anotada. Repite la consulta permitida y confírmala en Logs & Reports.

Solo la combinación de una consulta permitida y otra bloqueada valida el transporte y la aplicación de la política. Que una página cargue correctamente no demuestra que la consulta haya pasado por DNS Protection.

Entender los retrasos y las diferencias aparentes

Las ventanas son distintas: 24 horas para los enlaces de contadores, siete días para Top domain queries y el informe de equipos, y hasta tres meses para el asistente. Por eso los valores no tienen que coincidir. Una ubicación eliminada puede seguir visible; Active computers no aparece sin Sophos Endpoint; un dominio puede seguir clasificado aunque hoy no tenga actividad. Policy violations blocked y Security threats blocked son tipos distintos.

En las comparaciones diarias también influye la zona horaria: según Sophos Known Issues, NSWAAS-3281, el historial de 30 días del dashboard agrupa los valores diarios en UTC, mientras que Logs & Reports utiliza la hora local del usuario. Para una comparación fiable, selecciona en el informe el mismo intervalo absoluto que corresponde al día UTC. Unos límites diarios distintos no demuestran que se hayan perdido consultas DNS.

Para el intervalo exacto de un incidente, usa Logs & Reports; el panel sirve para orientarse.

Resolver problemas por síntoma

El asistente no se completa

Abre cada paso desde el asistente y vuelve a Dashboard. Confirma que al menos una ubicación envía tráfico, que existe una política y que Logs & Reports contiene consultas. En un diseño solo de red, Deploy to devices puede quedar sin usar de forma intencionada; la validación funcional es más importante que completar la lista.

No aparecen consultas o aparecen muy pocas

Espera 25 minutos tras la prueba. Revisa los resolvedores, posibles rutas que eludan DNS Protection, la IP de origen pública o la asignación de Secure DNS y el filtro de ubicación de Logs & Reports. Si el informe detallado también está vacío, comprueba primero el contexto de permisos: NSWAAS-4051 describe que un rol personalizado necesita, además de DNS Protection, los permisos de Firewall adecuados para los datos de informes. Con acceso a Firewall None faltan los datos de tráfico; Read only muestra el dashboard, pero no permite guardar templates ni programar informes. La guía de informes explica este límite. El responsable de roles comprueba únicamente los permisos necesarios para la tarea; una cuenta Super Admin no es una solución general. Si los permisos y filtros son correctos, se acotan el reenvío DNS, la implementación del dispositivo, la conectividad y la asignación de ubicación.

Los contadores o los dominios principales parecen incorrectos

Compara el mismo periodo y revisa dominio, motivo, origen y política aplicada en el informe detallado. Una clasificación de siete días reacciona más despacio que un informe de 24 horas.

Active locations es mayor de lo esperado

Primero, comprobar a qué contador se refiere: Active locations en Usage summary muestra las ubicaciones de las que se han recibido consultas. Comparar para ello la asignación actual de ubicaciones y los informes detallados filtrados por tiempo. En cambio, Queries en Setup Assistant cuenta las ubicaciones con actividad en los últimos tres meses y puede seguir incluyendo entradas eliminadas recientemente. Utilizar Locations para el inventario actual; un contador más alto en el asistente no demuestra que haya otra ubicación activa actualmente.

Falta Active computers o el informe de equipos

Estas áreas requieren Sophos Endpoint. Su ausencia es normal en una implementación limitada a red, firewall o resolvedor.

Añadir widgets DNS al dashboard de Fusion

El dashboard específico del producto sigue siendo el punto de entrada descrito anteriormente. El anuncio de Sophos del 21 de octubre de 2026 añade tres vistas para dashboards de Fusion propios: DNS Protection overview, top domains y top endpoint devices. Permiten observar la actividad DNS junto a datos de otros productos.

En Dashboards > Manage dashboards, crea o edita un dashboard propio, filtra por DNS Protection en Widgets library y añade las vistas disponibles que correspondan a la tarea. La guía general de dashboards explica la selección y la disposición. Los widgets disponibles dependen de la licencia del producto y del rol; una vista de endpoints no genera identidades de dispositivos a partir de datos DNS exclusivamente de red. Compara el periodo y el origen de los datos con el informe del producto antes de deducir una avería de un widget vacío. Según Sophos, los dashboards propios solo son visibles para el administrador que los crea; esta incorporación no crea un dashboard de equipo compartido automáticamente.

Tomar decisiones operativas

Cada día, revisa los Security threats blocked inesperados, las caídas de volumen y las ubicaciones previstas ausentes. Cada semana, compara Last week, evalúa dominios recurrentes y confirma que los Policy blocks reflejan las reglas deseadas. Antes de permitir o bloquear un dominio, revisa el informe detallado, los orígenes, la finalidad empresarial y el alcance de la política; prueba los cambios en un ámbito reducido y vuelve a validarlos.