Sophos DNS Protection

Sophos DNS Protection est un service DNS cloud de Sophos Fusion. Il associe résolution DNS sécurisée, blocage des menaces, policies personnalisées, listes de domaines et rapports. Avant toute configuration, choisissez le bon parcours de déploiement : Xstream Protection couvre la protection autonome des réseaux et locations, tandis que Workspace Protection couvre la protection DNS administrée des endpoints Windows via Sophos Endpoint. Les deux licences prennent en charge DNS over HTTPS, mais ne sont pas interchangeables.

Décision directe : choisissez le parcours réseau pour un réseau de site, un pare-feu ou des appareils non administrés. Choisissez le parcours endpoint pour des appareils Windows administrés qui doivent aussi être protégés hors du réseau d’entreprise. Ne combinez pas les deux sans planification sur le même appareil.

Choisir le parcours de déploiement adapté

Réseaux et appareils non administrés avec Xstream Protection

La version autonome de DNS Protection fait partie de l’abonnement Xstream Protection de Sophos Firewall et n’inclut pas Sophos Endpoint. Les appareils réseau utilisent un résolveur central, un pare-feu ou directement les destinations DNS prévues pour le tenant. Locations, policies et rapports sont administrés dans Sophos Fusion.

Commencez par comparer les offres Sophos Firewall pour délimiter la licence. Utilisez ensuite Planifier et configurer DNS Protection sur le réseau pour choisir le parcours DNS. Si Sophos Firewall sert de résolveur et de redirecteur, suivez Configurer Sophos DNS Protection avec Sophos Firewall.

Endpoints Windows avec Workspace Protection

DNS Protection for endpoints est une fonction de Workspace Protection. Sophos Endpoint transmet de façon sécurisée à DNS Protection le trafic DNS des appareils Windows compatibles. Ce parcours est concédé sous licence par appareil ; un abonnement Xstream seul n’y donne pas droit.

Workspace Protection comprend aussi Protected Browser, ZTNA et Email Monitoring System. DNS Protection n’est pas pour autant une fonction de ces produits : même son intégration à Protected Browser reste un parcours DNS endpoint distinct. Licences Sophos Fusion explique licences et consommation ; Configurer DNS Protection pour les endpoints couvre installation, policy et essai pilote.

Conditions préalables à la configuration

1. Confirmez la licence : Xstream pour le DNS réseau autonome ou Workspace Protection pour Endpoint DNS. Ne déduisez pas les droits du nom de produit affiché.
2. Vérifiez l’accès : le chemin est My Products > DNS Protection. Les actions visibles et modifiables dépendent des rôles d’administration définis dans Sophos Fusion. Appliquez le moindre privilège.
3. Définissez l’objet protégé : indiquez si vous protégez Networks, Endpoints ou Unmanaged devices. Ce choix détermine le parcours DNS, la licence et le guide.
4. Définissez un groupe de test et un critère de réussite : choisissez une location ou un groupe limité, puis consignez la requête autorisée et la requête bloquée qui devront apparaître dans Dashboard et Reports.
5. Vérifiez la confidentialité : avant le déploiement, identifiez les données DNS traitées et la région Sophos Fusion choisie pour le tenant.

Par exemple, une entreprise peut tester le réseau du site Siège via le parcours réseau et, séparément, un petit groupe Windows-Pilot via le parcours endpoint. Les noms sont libres ; chaque groupe doit suivre exactement un parcours documenté et ses requêtes doivent pouvoir être associées à la policy attendue.

Articulation des éléments dans Sophos Fusion

Sous My Products > DNS Protection, plusieurs zones forment un même processus opérationnel :

• Locations associe les requêtes DNS à un contexte réseau ou Secure DNS.
• Policies définit le filtrage voulu.
• Domain lists ajoute des décisions ciblées d’autorisation ou de blocage.
• Dashboard fournit une vue opérationnelle rapide.
• Reports sert à la validation et à l’analyse.

Les guides liés décrivent chaque procédure. Cette vue d’ensemble oriente le lecteur sans répéter la configuration des locations, policies et certificats ni l’utilisation des rapports.

Validation et résultat attendu

Après le pilote, la simple résolution de noms ne suffit pas :

• les domaines autorisés sont résolus et ceux délibérément interdits sont bloqués ;
• les requêtes de test apparaissent dans Dashboard ou Reports après le délai propre au produit ;
• les requêtes réseau sont associées à la location prévue ;
• avec Endpoint DNS Protection, les métadonnées d’appareil ou d’utilisateur sont aussi visibles lorsqu’elles sont disponibles ;
• le parcours non retenu n’intervient pas accidentellement comme second résolveur.

Si ce résultat manque, n’élargissez pas immédiatement les policies. Déterminez d’abord si le problème touche le parcours réseau ou endpoint. Pour le réseau, le pare-feu ou la location, utilisez les guides réseau ; pour l’agent, l’affectation d’appareils ou la policy endpoint, utilisez le guide endpoint. Le dépannage reste ainsi limité au parcours de données actif, sans en mélanger deux.

Planifier la confidentialité et les régions

DNS Protection traite des données de requête DNS telles que l’IP source publique, le domaine demandé, l’heure et la réponse DNS. Le nom d’utilisateur et le nom de l’appareil endpoint sont traités uniquement avec Endpoint DNS Protection. Ces données servent à appliquer les policies, produire des rapports, analyser les menaces et dépanner. Elles servent aussi à l’amélioration et à l’innovation produit, notamment aux techniques de détection et de sécurité et à l’optimisation des performances. Sophos Engineering, SophosLabs et Sophos AI peuvent également les utiliser pour le développement, l’analyse, la détection des menaces, la recherche et l’amélioration continue.

Selon la Sophos Privacy Data Sheet, les données DNS Protection accessibles au client sont conservées 90 jours dans Sophos Fusion, les journaux de diagnostic 30 jours et les données de configuration jusqu’à l’arrêt du service. Traitement et stockage ont lieu dans la région choisie à la création du compte Sophos Fusion. Les requêtes DNS sont toutefois acheminées vers un point de présence mondial approprié du résolveur et n’y sont traitées que temporairement avant l’envoi des données vers la région Fusion. La région d’administration et l’emplacement du résolveur ne sont donc pas identiques.

Outre US et EU, Sophos répertorie Australia, Brazil, India, Japan et Canada comme régions d’administration. Disponibilité régionale et sous-traitants peuvent changer : vérifiez les informations actuelles avant le déploiement et lors des contrôles réguliers. Confidentialité et partage de données dans Sophos Fusion décrit la gouvernance globale.

Retour sûr et limites du dépannage

Cette vue d’ensemble ne propose volontairement aucun interrupteur universel : le retour sûr diffère entre DNS réseau, Sophos Firewall et policy endpoint. Avant un changement, consignez l’ancien résolveur ou l’ancienne policy, l’affectation du groupe test et le comportement attendu. En cas d’erreur, annulez uniquement le parcours concerné selon son guide, puis retestez la résolution interne et publique.

Si le parcours actif ne peut être identifié sans ambiguïté ou si aucune procédure de retour documentée n’existe pour la variante utilisée, arrêtez-vous. Ne supprimez pas locations, policies ou composants d’agent sur une simple hypothèse. Impliquez d’abord les administrateurs responsables du réseau ou des endpoints et, si nécessaire, transmettez à Sophos Support les données de test consignées.

Exploitation et cycle de vie du produit

L’historique explique cette séparation : DNS Protection autonome a atteint la disponibilité générale le 11 juin 2024. L’intégration de DNS Protection à Sophos Endpoint a été annoncée en Early Access le 24 novembre 2025 et redirigeait les requêtes DNS via HTTPS. Ces dates sont des jalons historiques, pas une indication d’un état actuel EAP, EOL ou de retrait.

En exploitation, contrôlez régulièrement licence, rôles d’administration, locations, policies, listes de domaines, rapports, conservation des données et parcours de retour testé. Validez d’abord les changements sur une location ou un groupe limité. L’aide et les versions actuelles prévalent sur les annonces historiques.