Configurare Sophos DNS Protection per Endpoint
L’Endpoint DNS Protection Policy collega Sophos DNS Protection direttamente a Sophos Endpoint. L’agente intercetta le richieste DNS e le invia cifrate tramite HTTPS al servizio Sophos. Funziona anche fuori dalla rete aziendale senza modificare manualmente i server DNS locali.
La funzione non è identica a Web Control. DNS Protection decide a livello di Domain, mentre Web Control copre categorie Web aggiuntive e la verifica Web sull’Endpoint.
Requisiti
Per l’integrazione Endpoint attuale servono:
- licenza Workspace Protection appropriata;
- Sophos Endpoint Agent sui dispositivi di destinazione;
- sistema operativo Windows Endpoint supportato;
- nessun dispositivo Windows Server o macOS;
- pacchetto software Endpoint compatibile;
- connessione HTTPS a Sophos DNS Protection.
Sophos richiede attualmente FTS 2025.2.3.31.2 Required for DNS Protection Update nella Endpoint Update Management Base Policy Windows. Sophos definisce temporaneo questo requisito; verificarlo prima di ogni rollout.
Funzionamento dell’integrazione Endpoint
- Endpoint Agent intercetta le richieste DNS.
- Le richieste non escluse vengono inviate cifrate a DNS Protection.
- Le risposte vengono restituite direttamente all’applicazione.
- I Domain interni esclusi usano il DNS configurato localmente o dall’applicazione.
- Facoltativamente, dopo
NXDOMAIN, un nome non risolvibile pubblicamente può essere ritentato tramite DNS locale.
Per le zone interne, Sophos consiglia esclusioni Domain esplicite. Sono più rapide e prevedibili di un secondo tentativo generale dopo NXDOMAIN.
Installare il componente agente
In My Products > Endpoint > Computers si selezionano Endpoint Windows idonei. In Manage Endpoint Software, in base alla licenza, compare DNS o DNS & ZTNA.
Dopo Install e Save si verifica:
- Agent mode rimane come pianificato;
- il componente DNS raggiunge
Installed; - il dispositivo dispone di software Endpoint attuale;
- non esistono alert aperti di installazione o riavvio.
Un’assegnazione software può partire indipendentemente dalla normale finestra di update.
Definire la Secure DNS Location
DNS Protection usa Locations per l’assegnazione delle regole. Per gli Endpoint si usa una Location con Secure DNS. È possibile usare la Default location non modificabile o crearne una propria.
Locations separate sono utili quando dispositivi mobili, paesi o unità organizzative richiedono regole diverse. Una Location non sostituisce una corretta popolazione di destinazione della policy.
Associare una Filtering Policy alla Location
L’Endpoint Policy determina quali dispositivi usano DNS Protection e sotto quale Secure DNS Location compaiono. Il filtro effettivo per categoria e Domain viene definito in una Filtering policy separata della Location.
Per ogni Location può essere valida una sola Filtering Policy. Sophos consente fino a 50 Policy di questo tipo per Tenant. Un profilo di filtro integrato non può essere modificato direttamente; per decisioni di categoria personalizzate si usa Let me specify.
Le Domain List sostituiscono la normale decisione della categoria: una Allow List può autorizzare un Domain di una categoria bloccata, mentre una Block List può bloccarlo nonostante la categoria consentita. Sophos continua tuttavia a bloccare Domain con Threat Score basso o Reputation pericolosa. Un’Allow List non costituisce quindi un bypass generico del malware.
I Domain aziendali interni possono inoltre essere inseriti in una Domain List consentita, affinché servizi ZTNA o interni non vengano bloccati da una categoria come Parked Domains. Ciò non sostituisce l’esclusione Domain dell’Endpoint per i nomi risolvibili esclusivamente dal server DNS interno.
Creare l’Endpoint Policy
Il percorso attuale è My Products > DNS Protection > Policies > Endpoint policies.
- Selezionare Add policy.
- Aggiungere computer o gruppi computer.
- Attivare la policy.
- In Settings, attivare Use Sophos DNS Protection.
- Selezionare la Secure DNS Location adatta.
- Aggiungere esclusioni per i Domain interni.
- Definire block page e distribuzione del certificato.
- Salvare e testare su un gruppo pilota.
Come per le altre Central Policy, l’ordine delle Endpoint DNS Policy determina quale policy riceve il dispositivo.
Zone DNS interne
Nomi interni come corp.example, zone Active Directory o Domain Split DNS non devono essere risolti accidentalmente soltanto in pubblico.
La variante più sicura è un’esclusione Domain concreta. Anche tutti i Subdomain vengono esclusi e risolti tramite il normale DNS di sistema.
Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN è un percorso di fallback. Può essere utile, ma è meno efficiente di un elenco mantenuto di zone interne.
Block page e certificato
Per Domain HTTPS, il browser deve considerare attendibile il certificato DNS Protection affinché mostri una block page comprensibile invece di un avviso sul certificato.
Automatically deploy the DNS Protection signing certificate to devices distribuisce il Root Certificate ai dispositivi. Prima vengono testati policy certificati esistenti, browser e Trust Store restrittivi.
Inoltre, blockpage.dnsprotection.sophos.com deve essere raggiungibile senza Web Filtering o TLS Decryption che modifichino la destinazione della block page. Se una Sophos Firewall usa il Web Proxy con Pharming Protection, deve utilizzare DNS Protection come resolver oppure disporre di una regola Allow dedicata a questo FQDN e di una regola TLS Do not decrypt.
Il Domain può essere bloccato anche senza block page visibile. Nel troubleshooting si verificano quindi DNS Protection Logs e corrispondenze di policy.
Pilota e verifica
Il gruppo pilota testa almeno:
- Domain pubblici consentiti e bloccati;
- nomi interni brevi e FQDN;
- connessioni VPN, Home Office e ufficio;
- browser con e senza proprie impostazioni Secure DNS;
- block page e trust del certificato;
- applicazioni con DNS over HTTPS integrato;
- comportamento in caso di guasto o blocco proxy.
Nei DNS Protection Logs vengono inoltre verificati Source Location, Policy e Action.
Analizzare Log e Report
I Report DNS Protection sono in ritardo di circa 15-25 minuti rispetto al Traffic corrente. Le modifiche ai nomi di Location o Policy possono comparire nei Report da 30 minuti a quattro ore più tardi. Questo ritardo viene considerato nei test.
Per il Traffic Endpoint sono disponibili come colonne, oltre alla Location, anche utente e Device ID. Ciò consente di verificare se una Request proviene davvero dall’Agent previsto e non soltanto dallo stesso indirizzo IP pubblico. Le viste importanti sono DNS usage, DNS usage by source e High risk devices.
I Template salvati conservano filtri e visualizzazione, ma non dati o periodo. Gli Export pianificati hanno limiti di righe e colonne diversi a seconda del formato; i file esportati vengono eliminati dopo 90 giorni. Per i dati Incident viene quindi definita una conservazione separata.
Problemi frequenti
I nomi interni non vengono risolti
La zona interna viene aggiunta come esclusione Domain. Poi si verificano server DNS locale, Search Suffix ed Endpoint DNS Policy effettiva.
Il dispositivo non compare nell’Endpoint Policy
Vengono controllati piattaforma, licenza, componente agente e Agent Mode. L’integrazione supporta attualmente soltanto Windows Endpoint, non server o macOS.
La block page mostra un errore certificato
Vengono verificate distribuzione e attendibilità del DNS Protection Signing Certificate. Trust Store propri del browser possono richiedere gestione aggiuntiva.
Il browser aggira la policy
Browser o applicazioni possono usare propri percorsi DNS over HTTPS. Si controllano resolver effettivo ed Endpoint Events prima di considerare inefficace la DNS Policy.
Un Domain consentito rimane bloccato
Controllare prima Threat Reputation ed eventuale CNAME. Se il nome di destinazione è consentito ma il suo CNAME appartiene a una categoria bloccata, la connessione può comunque fallire. Una categoria palesemente errata viene inviata per la riclassificazione, non aggirata con Allow List sempre più ampie.
Un nuovo blocco non ha effetto immediato
Le risposte DNS già memorizzate in Cache restano utilizzabili fino alla scadenza del relativo TTL. Policy, Report e orario del test vengono quindi documentati insieme; salvare ripetutamente la stessa regola non accelera la scadenza del TTL.