Configurer Sophos DNS Protection pour Endpoint
La stratégie Endpoint DNS Protection relie directement Sophos DNS Protection à Sophos Endpoint. L’agent intercepte les requêtes DNS et les transmet en HTTPS au service Sophos, y compris hors du réseau d’entreprise.
Ce n’est pas Web Control. DNS Protection filtre au niveau du domaine, tandis que Web Control possède ses propres catégories et contrôles.
Prérequis
Les conditions suivantes s’appliquent à l’intégration Endpoint actuelle :
- licence Workspace Protection adaptée
- Sophos Endpoint Agent installé
- endpoint Windows pris en charge
- aucun Windows Server ou macOS
- package Endpoint compatible
- accès HTTPS à DNS Protection
Sophos exige actuellement explicitement le paquet FTS 2025.2.3.31.2 Required for DNS Protection Update. Dans l’Endpoint Update Management Base Policy sous Windows, sélectionner ce paquet. Sophos qualifie cette exigence de temporaire ; vérifier donc avant chaque nouveau déploiement si elle est toujours en vigueur.
Fonctionnement de l’intégration Endpoint
- L’agent Endpoint intercepte les requêtes DNS.
- Les requêtes non exclues sont envoyées chiffrées à DNS Protection.
- Les réponses sont renvoyées directement à l’application.
- Les domaines internes exclus utilisent le service DNS configuré localement ou dans l’application.
- En option, un nom non résolu publiquement peut être réessayé via le DNS local après
NXDOMAIN.
Sophos recommande des exclusions explicites pour les zones internes. Elles sont plus rapides et plus prévisibles qu’une seconde tentative générale après NXDOMAIN.
Installer le composant agent
Sous My Products > Endpoint > Computers, sélectionner d’abord les Endpoints Windows compatibles. Dans Manage Endpoint Software, DNS ou DNS & ZTNA apparaît selon la licence.
Après Install et Save, vérifier :
- l’Agent Mode reste celui prévu ;
- le composant DNS atteint l’état
Installed; - l’appareil utilise un logiciel Endpoint actuel ;
- aucune alerte d’installation ou de redémarrage n’est ouverte.
L’affectation peut s’installer hors de la fenêtre habituelle.
Définir la Location Secure DNS
DNS Protection utilise des Locations pour les règles. Les endpoints nécessitent Secure DNS. La Default location ou une Location propre peut être choisie.
Séparer les Locations si les appareils mobiles, pays ou unités nécessitent des filtres différents. La Location ne remplace pas la cible de stratégie.
Associer une Filtering Policy à la Location
L’Endpoint Policy détermine quels appareils utilisent DNS Protection et sous quelle Secure DNS Location ils apparaissent. Le filtrage réel des catégories et des domaines est défini dans une Filtering policy distincte pour cette Location.
Une seule Filtering Policy peut s’appliquer par Location. Sophos autorise jusqu’à 50 Policies de ce type par tenant. Un profil de filtrage intégré ne peut pas être modifié directement. Pour prendre des décisions personnalisées par catégorie, il faut utiliser Let me specify.
Les Domain Lists remplacent la décision normale de la catégorie : une Allow List peut autoriser un domaine d’une catégorie bloquée, et une Block List peut le bloquer malgré une catégorie autorisée. Sophos continue toutefois de bloquer les domaines présentant un mauvais Threat Score ou une Reputation dangereuse. Une Allow List n’est donc pas un contournement général de la protection contre les logiciels malveillants.
Les domaines internes de l’entreprise peuvent également figurer dans une Domain List autorisée afin que, par exemple, des services ZTNA ou internes ne soient pas bloqués à cause d’une catégorie comme Parked Domains. Cela ne remplace pas l’exception de domaine Endpoint pour les noms que seul le serveur DNS interne peut résoudre.
Créer l’Endpoint Policy
Sous My Products > DNS Protection > Policies > Endpoint policies :
- choisir Add policy
- ajouter ordinateurs ou groupes
- activer la stratégie
- activer Use Sophos DNS Protection
- choisir la Location
- ajouter les domaines internes
- configurer page de blocage et certificat
- tester sur un pilote
L’ordre des stratégies décide laquelle s’applique.
Zones DNS internes
Les noms internes comme corp.example, les zones Active Directory ou les domaines Split DNS ne doivent pas être résolus par erreur uniquement via le DNS public.
La variante la plus sûre consiste à créer une exclusion de domaine précise. Tous ses sous-domaines sont également exclus et résolus via le service DNS normal du système.
L’option Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN constitue un mécanisme de secours. Elle peut aider, mais reste moins efficace qu’une liste maintenue de zones internes.
Pages de blocage et certificat
Pour les domaines HTTPS, le navigateur doit approuver le certificat DNS Protection afin d’afficher une page de blocage compréhensible plutôt qu’un avertissement de certificat.
Automatically deploy the DNS Protection signing certificate to devices distribue le certificat racine aux appareils cibles. Les stratégies de certificat existantes, les navigateurs et les Trust Stores restrictifs sont testés au préalable.
En outre, blockpage.dnsprotection.sophos.com doit rester accessible sans filtrage Web ni déchiffrement TLS qui modifie la destination de la page de blocage. Si une Sophos Firewall utilise le proxy Web avec Pharming Protection, elle doit soit utiliser DNS Protection comme résolveur, soit disposer d’une règle Allow dédiée à ce FQDN et d’une règle TLS Do not decrypt.
Même sans page de blocage visible, le domaine peut être bloqué. Le dépannage vérifie donc les logs DNS Protection et les correspondances de stratégie.
Pilote et validation
Le groupe pilote teste au minimum :
- les domaines publics autorisés et bloqués ;
- les noms internes courts et FQDN ;
- les connexions VPN, Home Office et bureau ;
- les navigateurs avec et sans leurs propres réglages Secure DNS ;
- la page de blocage et la confiance du certificat ;
- les applications avec DNS over HTTPS intégré ;
- le comportement en cas de panne ou de blocage par le proxy.
Contrôler également dans les logs DNS Protection la Source Location, la stratégie et l’action.
Analyser les Logs et Reports
Les DNS Protection Reports accusent un retard d’environ 15 à 25 minutes sur le trafic actuel. Les changements de nom des Locations ou Policies peuvent n’apparaître dans les Reports qu’après 30 minutes à quatre heures. Ce délai est pris en compte lors des tests.
Pour le trafic Endpoint, les colonnes disponibles comprennent l’utilisateur et le Device ID en plus de la Location. Il est ainsi possible de vérifier si une requête provient réellement de l’agent attendu, et pas seulement de la même adresse IP publique. Les vues importantes sont DNS usage, DNS usage by source et High risk devices.
Les Templates enregistrés conservent les filtres et la présentation, mais pas les données ni la période. Les Scheduled Exports ont des limites de lignes et de colonnes différentes selon le format. Les fichiers exportés sont supprimés après 90 jours. Une conservation propre est donc définie pour les Incident Data.
Problèmes fréquents
Les noms internes ne sont pas résolus
Ajouter la zone interne comme exclusion de domaine, puis contrôler le serveur DNS local, le suffixe de recherche et l’Endpoint DNS Policy réellement appliquée.
L’appareil n’apparaît pas dans l’Endpoint Policy
Contrôler plateforme, licence, composant agent et Agent Mode. Cette intégration prend actuellement en charge uniquement les endpoints Windows, pas les serveurs ni macOS.
La page de blocage affiche une erreur de certificat
Contrôler le déploiement et la confiance du certificat de signature DNS Protection. Les navigateurs avec leur propre Trust Store peuvent nécessiter une gestion supplémentaire.
Le navigateur contourne la stratégie
Les navigateurs ou applications peuvent utiliser leurs propres chemins DNS over HTTPS. Vérifier le Resolver réellement utilisé et les Endpoint Events avant de conclure que la stratégie DNS ne fonctionne pas.
Un domaine autorisé reste bloqué
La Threat Reputation et un éventuel CNAME sont d’abord vérifiés. Si le nom cible est autorisé, mais que son CNAME appartient à une catégorie bloquée, la connexion peut encore échouer. Une catégorie manifestement incorrecte est soumise pour reclassification au lieu d’être contournée avec des Allow Lists toujours plus larges.
Un nouveau blocage n’agit pas immédiatement
Les réponses DNS déjà mises en cache restent utilisables jusqu’à l’expiration de leur TTL. La Policy, le Report et l’heure du test sont donc documentés ensemble. Enregistrer plusieurs fois la même règle n’accélère pas l’expiration du TTL.