Comprendre et vérifier le tableau de bord Sophos DNS Protection

Le tableau de bord Sophos DNS Protection réunit le contrôle de la configuration et une vue synthétique de l’exploitation. Il se trouve dans Sophos Fusion (anciennement Sophos Central) sous My Products > DNS Protection > Dashboard. Il affiche le Setup Assistant, Usage summary, l’historique DNS Protection traffic et Top domains (last seven days). Pour découvrir le service, sa licence et sa configuration initiale, consultez Sophos DNS Protection, inclus avec Xstream Protection.

Les données ont un retard d’environ 15 à 25 minutes. Une requête de test récente peut donc ne pas apparaître immédiatement. Le tableau de bord sert à suivre les tendances et l’avancement ; View all et Logs & Reports permettent d’analyser les requêtes individuelles.

Utiliser correctement le Setup Assistant

Set up DNS Protection guide la configuration initiale, mais ne constitue pas un test fonctionnel complet :

Add locations ouvre My Products > DNS Protection > Locations. Une Default location existe déjà ; l’assistant indique ensuite le nombre de locations configurées.
Set up your network ouvre Installers. Copiez les DNS Protection IP addresses et, si nécessaire, téléchargez le Root Certificate, puis configurez le réseau, le résolveur ou les appareils.
Au retour, Queries indique le nombre de locations ayant envoyé des requêtes. Cette valeur couvre les locations actives des trois derniers mois ; des locations récemment supprimées peuvent encore être comptées.
Dans Add policy, Create policy ouvre My Products > DNS Protection > Policies ; au retour, l’assistant affiche le nombre de policies.
Review logs ouvre My Products > DNS Protection > Logs & Reports, où vous vérifiez la location, la source et la policy.
Deploy to devices ouvre My Products > DNS Protection > Policies > Endpoint policies. Cette étape concerne Sophos Endpoint ; un déploiement réseau seul ne nécessite pas d’Endpoint policy.
Lorsque Sophos détecte la fin des étapes, le message Congratulations! Set up appears to be complete s’affiche.

Hide masque l’assistant et Set up DNS Protection l’affiche de nouveau. Cela ne modifie aucune configuration.

Recommandation Avanet : ne considérez pas le message de réussite comme une recette. Après le délai de traitement, confirmez dans Logs & Reports une requête autorisée et une requête bloquée de façon contrôlée pour chaque location concernée.

Interpréter Usage summary

Un clic sur un compteur de Usage summary ouvre son rapport sur les dernières 24 heures :

Total DNS queries: toutes les requêtes résolues provenant de toutes les locations, qu’elles soient autorisées ou bloquées. Une valeur élevée ne constitue pas à elle seule un incident.
Security threats blocked: requêtes bloquées pour des raisons de sécurité. Analysez rapidement leur source et leur répétition.
Policy violations blocked: requêtes bloquées par vos policies, hors Security blocks. Une hausse peut être voulue ou révéler une mauvaise affectation.
Active computers: ordinateurs actifs pendant les dernières 24 heures, uniquement avec Sophos Endpoint.
Active locations: locations ayant envoyé au moins une requête. Cette valeur ne garantit pas une disponibilité continue.

Ces compteurs ne peuvent pas être directement rapprochés par un calcul. Un volume inattendu associé à l’absence de locations attendues est significatif ; vérifiez-le dans les rapports détaillés filtrés par location. Des blocages sans trafic de test attendu imposent de contrôler la source, le domaine et la policy.

Lire DNS Protection traffic

Le graphique DNS Protection traffic présente le DNS query volume, c’est-à-dire le nombre de requêtes sur 3 hours, 24 hours ou 30 days. Il permet une comparaison avec Last week ou Last month (4 weeks ago). Les vues 24 hours et 30 days affichent aussi la moyenne quotidienne du mois précédent.

Une baisse peut correspondre à une période calme, une panne de site, une modification du transfert DNS ou une mauvaise affectation de location.
Un pic peut provenir de mises à jour, de services cloud, d’un nouveau site ou de clients défaillants.
Un total stable n’exclut pas la perte d’une location.

Le graphique n’est pas un moniteur de disponibilité. Utilisez View all pour filtrer les rapports détaillés par période et par location.

Évaluer Top domains (last seven days) et les ordinateurs protégés

Top domain queries couvre sept jours et distingue Permitted domains, Security blocks et Policy blocks. Un domaine fréquent n’est pas nécessairement suspect : systèmes d’exploitation, CDN, produits de sécurité et applications SaaS génèrent de nombreuses requêtes. Évaluez la catégorie, l’usage métier, la source et le moment. Remontez les Security blocks répétés jusqu’à l’appareil d’origine ; de nombreux Policy blocks peuvent signaler une règle efficace ou une boucle de nouvelle tentative inutile.

Avec Sophos Endpoint, DNS usage from protected computers présente les sept premiers ordinateurs avec Username, Device name or ID et les requêtes autorisées ou bloquées. View all utilise DNS usage by source pour Permitted domains et Policy blocks, et High risk devices pour Security blocks. Il s’agit d’une liste de priorités, pas d’un inventaire complet.

Valider la configuration sans risque

Pour un test de blocage, n’utilisez jamais un véritable domaine malveillant ni une policy de production largement affectée :

Notez l’affectation actuelle de la policy pour la location de test.
Utilisez une location de test dédiée ou un groupe pilote très restreint. Affectez une policy temporaire contenant exactement un domaine inoffensif dans une block domain list. Ne bloquez pas une catégorie entière pour les utilisateurs en production.
Depuis ce même périmètre, interrogez un domaine autorisé connu et le domaine de test inoffensif.
Attendez au moins 25 minutes. Dans Logs & Reports, vérifiez la location, la source, la policy et la décision des deux requêtes.
Vérifiez la réaction cohérente de Total DNS queries, du compteur de blocage et de Active locations. Avec Sophos Endpoint, contrôlez aussi le rapport des ordinateurs.
Supprimez l’entrée de test et restaurez l’affectation notée. Répétez la requête autorisée et confirmez-la dans Logs & Reports.

Seule l’association d’une requête autorisée et d’une requête bloquée valide le transport et l’application de la policy. Le chargement réussi d’une page ne prouve pas que sa requête a traversé DNS Protection.

Comprendre les délais et les écarts apparents

Les fenêtres diffèrent : 24 heures pour les liens des compteurs, sept jours pour Top domain queries et le rapport des ordinateurs, jusqu’à trois mois pour l’assistant. Les valeurs ne coïncident donc pas nécessairement. Une location supprimée peut rester visible ; Active computers est absent sans Sophos Endpoint ; un domaine peut rester classé sans activité aujourd’hui. Policy violations blocked et Security threats blocked sont deux types de blocage distincts.

Pour les comparaisons quotidiennes, il faut aussi tenir compte du fuseau horaire : selon les Sophos Known Issues, NSWAAS-3281, l’historique du tableau de bord sur 30 jours établit les valeurs quotidiennes en UTC, tandis que Logs & Reports utilise l’heure locale de l’utilisateur. Pour une comparaison fiable, sélectionnez dans le rapport la même période absolue correspondant à la journée UTC. Des limites de journée différentes ne prouvent pas la perte de requêtes DNS.

Pour la période précise d’un incident, fiez-vous à Logs & Reports ; le tableau de bord sert à l’orientation.

Dépanner selon le symptôme

L’assistant ne se termine pas

Ouvrez chaque étape depuis l’assistant, puis revenez à Dashboard. Vérifiez qu’une location envoie du trafic, qu’une policy existe et que Logs & Reports contient des requêtes. Dans un déploiement réseau seul, Deploy to devices peut rester volontairement inutilisé ; le test fonctionnel prime sur la liste complète.

Aucune requête, ou trop peu, n’apparaît

Attendez 25 minutes après le test. Contrôlez ensuite les résolveurs, les chemins de contournement DNS, l’adresse IP source publique ou l’affectation Secure DNS, puis le filtre de location dans Logs & Reports. Si le rapport détaillé reste vide, vérifiez d’abord le contexte des autorisations : NSWAAS-4051 décrit qu’un rôle personnalisé doit disposer de droits Firewall adaptés en plus de DNS Protection pour accéder aux données de reporting. Avec l’accès Firewall None, les données de trafic sont absentes ; Read only affiche le tableau de bord, mais ne permet ni d’enregistrer des templates ni de planifier des rapports. Le guide des rapports explique cette limite. Le responsable des rôles vérifie uniquement les droits nécessaires à la tâche ; un compte Super Admin n’est pas une solution de contournement générale. Si les droits et les filtres sont corrects, examinez le transfert DNS, le déploiement des appareils, l’accessibilité et l’affectation de location.

Les compteurs de blocage ou les principaux domaines semblent erronés

Comparez la même période, puis vérifiez le domaine, le motif, la source et la policy appliquée dans le rapport détaillé. Un classement sur sept jours réagit plus lentement qu’un rapport sur 24 heures.

Active locations est plus élevé que prévu

Vérifier d’abord le compteur concerné : Active locations dans Usage summary indique les emplacements dont des requêtes ont été reçues. Comparer pour cela l’affectation actuelle des emplacements et les rapports détaillés filtrés dans le temps. En revanche, Queries dans Setup Assistant compte les emplacements ayant eu de l’activité au cours des trois derniers mois et peut encore inclure des entrées récemment supprimées. Utiliser Locations pour l’inventaire actuel ; un compteur plus élevé dans l’assistant ne prouve pas l’existence d’un emplacement actif supplémentaire à l’heure actuelle.

Active computers ou le rapport des ordinateurs est absent

Ces zones nécessitent Sophos Endpoint. Leur absence est normale dans un déploiement limité au réseau, au pare-feu ou au résolveur.

Ajouter des widgets DNS au tableau de bord Fusion

Le tableau de bord propre au produit reste le point d’entrée décrit ci-dessus. L’annonce Sophos du 21 octobre 2026 ajoute trois vues pour les tableaux de bord Fusion personnalisés : DNS Protection overview, top domains et top endpoint devices. Elles permettent de consulter l’activité DNS à côté des données d’autres produits.

Sous Dashboards > Manage dashboards, créez ou modifiez un tableau de bord personnalisé, filtrez la Widgets library sur DNS Protection et ajoutez les vues proposées qui répondent au besoin. Le guide général des tableaux de bord explique la sélection et la disposition. Les widgets disponibles dépendent de la licence du produit et du rôle ; une vue Endpoint ne crée pas d’identités d’appareils à partir de données DNS purement réseau. Comparez la période et l’origine des données avec le rapport du produit avant de conclure à une panne en présence d’un widget vide. Selon Sophos, les tableaux de bord personnalisés ne sont visibles que par l’administrateur concerné ; cet ajout ne crée pas un tableau de bord d’équipe automatiquement partagé.

Prendre des décisions d’exploitation

Chaque jour, contrôlez les Security threats blocked inattendus, les fortes baisses de volume et les locations attendues manquantes. Chaque semaine, comparez Last week, évaluez les domaines récurrents et confirmez que les Policy blocks correspondent toujours aux règles voulues. Avant d’autoriser ou de bloquer un domaine, examinez le rapport détaillé, les sources, l’usage métier et la portée de la policy ; testez toute modification sur un périmètre restreint et validez-la de nouveau.