Configurare Sophos DNS Protection per gli endpoint

Sophos DNS Protection è un prodotto distinto in Sophos Fusion (in precedenza Sophos Central). L’Endpoint policy descritta qui è la sua integrazione ufficialmente documentata con Sophos Endpoint: l’Endpoint agent intercetta le richieste DNS e le inoltra a DNS Protection tramite HTTPS. Il filtro rimane quindi attivo anche fuori dalla rete aziendale, senza modificare manualmente i server DNS del dispositivo.

Questa integrazione non è una normale policy di protezione Endpoint e non coincide con Web Control. DNS Protection prende decisioni sui domini tramite una propria Filtering policy. Web Control usa policy Web Endpoint separate. L’integrazione firewall segue un altro percorso DNS, descritto in Sophos DNS Protection con Sophos Firewall.

Verificare prima i requisiti

La procedura attualmente documentata da Sophos richiede:

• un endpoint Windows 10 o Windows 11 con processore Intel o ARM; al momento non è possibile aggiungere Windows Server o macOS a questa policy;
• Sophos Endpoint Agent installato;
• accesso a DNS Protection nel tenant;
• connettività HTTPS dall’endpoint a DNS Protection;
• il pacchetto software corrente Windows > Recommended.

Il tenant deve disporre dell’autorizzazione Workspace Protection per DNS Protection for endpoints; l’utilizzo viene conteggiato in base ai dispositivi protetti con DNS Protection. Xstream Protection per Sophos Firewall copre solo DNS Protection autonomo e non abilita questo percorso Endpoint. Deve inoltre essere presente Sophos Endpoint; Workspace Protection da solo non include la protezione Endpoint completa, salvo acquisto del bundle combinato. Licenze Sophos Fusion spiega questo confine e il modello di consumo.

Assegnare agli amministratori solo le autorizzazioni DNS Protection necessarie, secondo il principio del privilegio minimo. Assegnare correttamente i ruoli di Sophos Fusion spiega come limitare l’accesso dei ruoli.

Prima di ogni rollout, aprire My Products > Endpoint > Policies > Update Management > Base Policy - Update Management > Settings > Select a software package, selezionare Windows > Recommended e verificare che il pacchetto sia assegnato ai dispositivi pilota. Se Endpoint Agent non è ancora installato, seguire prima Mettere in funzione Sophos Endpoint. Questo requisito riguarda il percorso Endpoint gestito descritto qui, non i dispositivi configurati manualmente con indirizzi di server DNS o un template DoH.

Installare il componente agent

1. Aprire My Products > Endpoint > Computers.
2. Selezionare i computer Windows del gruppo pilota.
3. Selezionare Manage Endpoint Software.
4. Impostare DNS su Install. Con una licenza ZTNA, la voce si chiama DNS & ZTNA.
5. Selezionare Save.

Non procedere subito con tutto il parco. Verificare prima in Sophos Fusion che l’assegnazione software sia arrivata ai dispositivi pilota e che non rimangano avvisi d’installazione. La sola presenza di Endpoint non dimostra che il componente DNS sia stato assegnato.

Come viene gestita una richiesta DNS

1. Sophos Endpoint intercetta il traffico DNS, tranne i domini esclusi esplicitamente.
2. Tutte le altre richieste vengono inoltrate in modo sicuro a DNS Protection tramite HTTPS.
3. DNS Protection restituisce le risposte direttamente all’applicazione richiedente.
4. Le richieste per i domini esclusi vanno al servizio DNS configurato dal sistema o dall’applicazione.
5. Facoltativamente, il DNS locale può riprovare un nome quando DNS Protection restituisce NXDOMAIN perché non è risolvibile pubblicamente.

Senza l’integrazione DNS Protection attiva, il servizio DNS locale gestisce le richieste come in precedenza.

Tenere separati i modelli operativi: collegare Windows manualmente a DNS Protection è un’alternativa e non va distribuito anche come presunto fallback sugli stessi dispositivi. Architettura, porte e controllo dei bypass appartengono alla guida di rete; il percorso DNS centrale tramite SFOS alla guida firewall. Questo articolo resta dedicato al percorso Endpoint gestito.

Scegliere la Secure DNS Location

DNS Protection raggruppa dispositivi e reti in Locations. Per gli endpoint, la Location scelta deve usare Secure DNS come metodo di connessione. La Default location, non modificabile, soddisfa il requisito; in alternativa si può creare una Secure DNS Location separata in DNS Protection.

Una Location distinta è utile se un gruppo pilota, una regione o un’unità organizzativa richiede un filtro diverso. Non sostituisce una selezione accurata dei computer o dei gruppi nella Endpoint policy. Per creare, modificare o dismettere una Location personalizzata per endpoint, seguire Gestire in sicurezza le Location di Sophos DNS Protection e mantenere Secure DNS come metodo di connessione.

Creare la Endpoint policy

Il punto di accesso attuale e documentato ufficialmente è My Products > DNS Protection > Policies > Endpoint policies. Il precedente My Products > Endpoint > Policies resta disponibile; per un percorso operativo univoco, questa guida usa tuttavia l’accesso da DNS Protection. Nel menu DNS Protection, i due tipi di policy si chiamano Endpoint policies e Filtering policies.

1. Selezionare Add policy.
2. Aggiungere i computer o i gruppi previsti.
3. In Policy Active, verificare che Policy is Active sia attivo. Per una nuova policy lo è per impostazione predefinita.
4. Aprire Settings.
5. Attivare Use Sophos DNS Protection.
6. Scegliere la Default location o una Location personalizzata che utilizzi Secure DNS.
7. Aggiungere i domini interni sotto Domains.
8. Decidere se il DNS configurato dal sistema o dall’applicazione debba riprovare dopo NXDOMAIN.
9. Se servono pagine di blocco, configurare la distribuzione automatica del certificato.
10. Salvare e validare inizialmente solo con il gruppo pilota.

Controllare l’assegnazione effettiva su un dispositivo. Vedere la policy nel portale non dimostra da solo che venga applicata al dispositivo.

Gestire in sicurezza le zone DNS interne

Per zone interne come corp.example, zone Active Directory e namespace Split DNS, Sophos consiglia Domain exclusions esplicite. Tutti i sottodomini del dominio inserito vengono esclusi automaticamente. Le richieste raggiungono così direttamente il servizio DNS previsto dal sistema o dall’applicazione.

Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN è un fallback per nomi non risolvibili pubblicamente. Sophos raccomanda comunque un elenco di esclusioni mantenuto per ottenere le migliori prestazioni. L’opzione non deve quindi sostituire un inventario completo delle zone interne.

Pagine di blocco e certificato

Automatically deploy the DNS Protection signing certificate to devices installa automaticamente il certificato root richiesto sui dispositivi di destinazione. Solo così il browser può mostrare la pagina di blocco Sophos per un dominio HTTPS bloccato senza un avviso sul certificato.

Testare prima la distribuzione nel gruppo pilota, soprattutto con browser dotati di Trust Store proprio o con policy certificati restrittive. L’assenza della pagina non dimostra che DNS Protection abbia consentito il dominio: Sophos indica che un blocco restituisce l’IP del proprio server di block page invece dell’indirizzo di destinazione. Controllare anche il match della policy e i log DNS Protection.

Adeguare il filtro per il pilota se necessario

La Endpoint policy associa i dispositivi alla Location. La Filtering policy separata di DNS Protection stabilisce quali domini consentire o bloccare. Per impostazione predefinita, DNS Protection blocca domini con Threat Score basso o reputazione pericolosa anche se non è assegnata una Filtering policy o una Domain List consente il dominio. Le decisioni personalizzate sulle categorie non vanno quindi considerate un bypass antimalware.

Se per il pilota esiste già una Filtering policy adatta, qui non serve altra configurazione. In caso contrario è sufficiente questa assegnazione facoltativa:

1. In My Products > DNS Protection > Domains, usare Add domain list per creare un elenco personalizzato, se necessario. Name e Description ne descrivono lo scopo, ad esempio Pilota – servizi aziendali consentiti.
2. In Domains, inserire i domini necessari singolarmente o incollarli riga per riga, confermando ogni voce con Invio o Tab. Un elenco può contenere al massimo 1000 domini e sono possibili al massimo 100 Domain Lists complessive. Una voce come example.com comprende anche i sottodomini, mentre www.example.com non comprende gli altri sottodomini di example.com.
3. In My Products > DNS Protection > Policies > Filtering policies, aprire la Filtering policy assegnata alla Endpoint Location. DNS Protection consente al massimo 50 Filtering Policies e una sola policy assegnata per Location.
4. Impostare i gruppi di categorie o le singole categorie su Allow, Block o Specify, secondo necessità. Nella stessa policy è possibile consentire o bloccare in modo mirato una Domain List.
5. Salvare e verificare nel pilota che i domini di test compaiano sotto la Location prevista con la decisione Allow o Block attesa.

Questi numeri sono limiti massimi documentati, non raccomandazioni. Creare elenchi e policy solo se necessari per il proprio filtro. La procedura completa di creazione, assegnazione, pilota e rollback è descritta in DNS Protection Filtering policies. Questo articolo verifica soltanto che l’endpoint raggiunga la Location prevista e quindi la Filtering policy attesa.

I domini interni possono richiedere due misure diverse:

• Una Domain exclusion nella Endpoint policy invia al DNS locale un nome risolvibile solo internamente.
• Una Domain List di autorizzazione in DNS Protection può proteggere un dominio aziendale risolvibile pubblicamente da una decisione di categoria inadeguata.

Una Domain List non sostituisce una Domain exclusion per le zone DNS private.

Pilota e validazione

Il gruppo pilota deve coprire almeno:

• un dominio di test pubblico consentito e uno bloccato intenzionalmente;
• nomi interni brevi e FQDN;
• connessioni dall’ufficio, da casa e tramite VPN;
• browser e applicazioni con configurazione Secure DNS o DNS over HTTPS propria;
• la pagina di blocco e la fiducia nel certificato di firma;
• il comportamento quando il servizio non è raggiungibile o la connessione HTTPS è bloccata.

Il test ha esito positivo quando le richieste pubbliche previste compaiono sotto la Location attesa e vengono valutate dalla Filtering policy corretta, le esclusioni interne continuano a essere risolte dal DNS locale e i dispositivi pilota non perdono risoluzioni essenziali.

Analizzare log e report

Secondo Sophos, i dati in DNS Protection > Logs & Reports sono in ritardo di 15-25 minuti rispetto al tempo reale. Le modifiche ai nomi di Location o policy possono richiedere da 30 minuti a quattro ore per comparire. Questi ritardi vanno considerati durante la validazione del pilota.

DNS usage mostra le richieste DNS della rete. DNS usage by source le suddivide per Location e, per Sophos Endpoint, mostra anche utenti e dispositivi. High risk devices aiuta a individuare dispositivi che interrogano domini rischiosi, sospetti o non sicuri. È una prova dell’assegnazione Endpoint più solida del solo indirizzo IP pubblico.

Per Template salvati, limiti di export, conservazione e Live Discover, seguire il runbook completo DNS Protection Reports e Live Discover. Le note seguenti bastano per l’accettazione immediata del pilota, ma non sostituiscono quel workflow di reporting.

Per restringere i risultati, selezionare prima il campo o la colonna in Query, quindi scegliere l’operatore e inserire il valore di confronto. Aggiungere gli altri filtri nello stesso modo; una riga viene mostrata solo se soddisfa tutte le condizioni, quindi i filtri sono combinati con AND. Infine selezionare Generate. Per i valori testuali, =, != e IN distinguono tra maiuscole e minuscole. Gli operatori wildcard ~ e !~, che utilizzano *, non fanno questa distinzione; <, <=, > e >= si applicano solo ai valori numerici.

I grafici a barre e a torta mostrano solo le prime dieci categorie. Per ottenere il set completo, usare anche la tabella filtrata e il relativo export. Occorre distinguere esplicitamente l’ambito: un export della vista corrente applica il periodo selezionato e i filtri Query attivi. Un export degli ultimi 90 giorni ignora invece il periodo selezionato nella vista e applica solo i filtri Query a quella finestra fissa di 90 giorni.

I Template salvati conservano la configurazione del report, non i dati generati o il periodo scelto. Gli Export hanno limiti di righe e colonne diversi in base al formato e i file esportati vengono eliminati dopo 90 giorni. I dati degli incidenti richiedono quindi una conservazione separata da quest’area temporanea.

Verificare lo stato dell’endpoint e i dati del pacchetto

In caso di problema, separare prima tre aspetti: il software DNS è assegnato, la Endpoint policy è applicata al dispositivo e la risoluzione DNS funziona come previsto? Lo stato in Sophos Fusion e Endpoint Self Help mostrano lo stato generale di Endpoint. Sophos, tuttavia, non documenta in questi strumenti un controllo di integrità, un servizio, un processo, un percorso di log o un codice di errore specifico per DNS. Uno stato Endpoint verde non dimostra quindi l’intercettazione DNS; fanno fede i test funzionali e DNS usage by source.

Registrare pacchetto e release

In Global Settings > Products and Services > Endpoint and Server > Software packages, Package details e Package notes mostrano moduli e versioni dell’intero pacchetto Endpoint. Per un incidente, registrare il pacchetto Windows > Recommended assegnato, i relativi dettagli, l’ora della modifica e i dispositivi pilota interessati. Controllare inoltre le note di rilascio di DNS Protection per modifiche e problemi noti pertinenti.

Questi dati non dimostrano una versione separata dell’agent DNS. Sophos non pubblica attualmente né una versione locale distinta del componente DNS né un downgrade specifico del componente. Non indicare la versione di Core Agent come versione DNS. I pacchetti Special sono correzioni fornite con un token da Sophos Support; non usare token di terzi e non considerarli un rollback DNS scelto autonomamente.

Risolvere i problemi comuni

Impossibile aggiungere il dispositivo

Controllare prima sistema operativo e tipo di dispositivo. La documentazione Sophos corrente consente solo endpoint Windows, non Windows Server o macOS. Verificare poi Endpoint agent, componente software DNS e accesso a DNS Protection.

I nomi interni non vengono risolti

Aggiungere la zona interessata come Domain exclusion. Controllare quindi server DNS locale, suffisso di ricerca, impostazioni DNS della VPN e policy effettivamente applicata. Un retry ampio dopo NXDOMAIN può aiutare la diagnosi, ma non sostituisce un elenco corretto delle zone.

La pagina di blocco mostra un errore di certificato

Verificare che Automatically deploy the DNS Protection signing certificate to devices sia attivo e che il dispositivo pilota consideri attendibile il certificato root. I browser con Trust Store proprio possono richiedere gestione aggiuntiva.

Il browser sembra aggirare la policy

Browser e applicazioni possono usare un proprio percorso DNS over HTTPS. Controllare prima il Resolver effettivamente utilizzato e l’assegnazione della policy. Un singolo test nel browser senza queste prove non basta a concludere che Endpoint agent o DNS Protection non funzionino.

Il sintomo riguarda il percorso di rete o Location

Più Resolver configurati, un server DNS IPv6 separato, il DNS hijacking dell’ISP, un indirizzo Location privato o un FQDN Location non più risolvibile sono problemi del percorso autonomo rete/Location. Non si risolvono modificando la Endpoint policy. Usare prima DNS usage by source per stabilire se la richiesta interessata provenga dalla Endpoint Location con utente e dispositivo. Se l’assegnazione manca e la risoluzione avviene invece tramite una Location di rete, proseguire con la pianificazione di rete per DNS Protection. Gli alert Location compaiono in My Environment > Alerts.

Impostazioni DNS manuali ed Endpoint policy agiscono insieme

Non mantenere Resolver Sophos inseriti manualmente o un template DoH come fallback insieme alla Endpoint policy. Domain exclusions e retry NXDOMAIN vengono inviati al DNS configurato dal sistema o dall’applicazione; se questo punta di nuovo a DNS Protection, si crea un secondo percorso difficile da diagnosticare. Ripristinare DHCP o il Resolver aziendale seguendo il rollback della guida Windows manuale, quindi ripetere il test.

Un dominio consentito rimane bloccato

Controllare Threat Score, reputazione, categoria ed eventuali target CNAME. Secondo Sophos, una Domain List non può annullare il blocco di sicurezza predefinito. Richiedere la ricategorizzazione di una classificazione palesemente errata invece di creare Allow List sempre più ampie.

Eseguire l’escalation e raccogliere i dati di consegna

Contattare Sophos Support se l’assegnazione non arriva nonostante il dispositivo sia online e contatti correttamente il servizio di aggiornamento, se errori DNS riproducibili non generano eventi dopo il ritardo dei report o se sono coinvolti più dispositivi pilota con lo stesso pacchetto. Fornire:

• ID dispositivo, versione di Windows, data e ora con fuso orario e connessione di rete interessata;
• Endpoint policy effettiva, Location, Filtering policy, Domain exclusions e impostazione di retry;
• nome pacchetto, Package details, Package notes e alert Sophos Fusion pertinenti;
• dominio di test, risultato previsto ed effettivo, applicazione e resolver utilizzati;
• voci corrispondenti di DNS usage by source, oppure l’assenza documentata di una voce;
• orari di rollout e modifica, oltre alle note di rilascio pertinenti.

Se Sophos Fusion segnala servizi mancanti, errori di aggiornamento o problemi Endpoint generici, circoscriverli prima con Sophos Endpoint per Windows: log e servizi. Un intervento Endpoint generico è una soluzione DNS solo quando Sophos lo conferma per il caso specifico e il successivo test DNS funzionale riesce.

Eseguire un rollback controllato

Disattivare Use Sophos DNS Protection nella Endpoint policy interessata oppure rimuovere i dispositivi pilota dalla sua assegnazione. Su un dispositivo pilota verificare poi che vengano nuovamente usati i Resolver configurati dal sistema o dall’applicazione e che funzionino nomi interni e pubblici.

Non dedurre riparazioni o rimozioni del solo DNS

Non esiste un flusso pubblico separato per riparare, disinstallare o diagnosticare localmente il componente DNS Endpoint. Non riavviare servizi presunti, eliminare file, inventare parametri di installazione o reinstallare l’agent Endpoint come riparazione DNS. Il rollback immediato sicuro resta la disattivazione di Use Sophos DNS Protection o la rimozione dei dispositivi dalla policy.

Non modificare preventivamente l’assegnazione software. La voce può chiamarsi DNS & ZTNA, perché può essere condivisa con ZTNA. Prima di una successiva modifica del componente, verificare l’uso di ZTNA e seguire il processo confermato per il tenant in Gestire Sophos Endpoint Agent Mode e il software. Anche la selezione di un pacchetto Endpoint precedente non è un rollback comprovato del solo DNS.

Per una dismissione completa, rimuovere i dispositivi dalla Endpoint policy e confermare nel pilota lo stato disattivato. Non modificare il componente software DNS durante il rollback immediato: in questa procedura Sophos ne documenta l’installazione, ma non un’azione separata di rimozione. Inoltre, quando è denominato DNS & ZTNA, il componente è condiviso con ZTNA. Pianificare un’eventuale pulizia software successiva solo mediante un processo Sophos Endpoint confermato per il tenant e dopo aver verificato che il dispositivo non richieda ZTNA.

Rimuovere il certificato root solo dopo il rollback DNS riuscito e tramite il processo gestito previsto. Disattivare l’opzione automatica o rimuovere l’assegnazione non dimostra che un root già installato sia scomparso. Distribuire il DNS Protection Root Certificate copre distribuzione, validazione e pulizia precisa tramite fingerprint; la pulizia manuale di singoli dispositivi non è adatta a un parco esteso.

Domande frequenti