Configurare Sophos DNS Protection per gli endpoint

Sophos DNS Protection è un prodotto distinto in Sophos Central. L’Endpoint policy descritta qui è la sua integrazione ufficialmente documentata con Sophos Endpoint: l’Endpoint agent intercetta le richieste DNS e le inoltra a DNS Protection tramite HTTPS. Il filtro rimane quindi attivo anche fuori dalla rete aziendale, senza modificare manualmente i server DNS del dispositivo.

Questa integrazione non è una normale policy di protezione Endpoint e non coincide con Web Control. DNS Protection prende decisioni sui domini tramite una propria Filtering policy. Web Control usa policy Web Endpoint separate. L’integrazione firewall segue un altro percorso DNS, descritto in Sophos DNS Protection con Sophos Firewall.

Verificare prima i requisiti

La procedura attualmente documentata da Sophos richiede:

• un endpoint Windows supportato; al momento non è possibile aggiungere dispositivi Windows Server o macOS a questa policy;
• Sophos Endpoint Agent installato;
• accesso a DNS Protection nel tenant;
• connettività HTTPS dall’endpoint a DNS Protection;
• il pacchetto software corrente Windows > Recommended.

Il tenant deve disporre dell’autorizzazione Workspace Protection per DNS Protection for endpoints. Xstream Protection per Sophos Firewall copre solo DNS Protection autonomo e non abilita questo percorso Endpoint. Deve inoltre essere presente Sophos Endpoint; Workspace Protection da solo non include la protezione Endpoint completa, salvo acquisto del bundle combinato. Licenze Sophos Central spiega questo confine e il modello di consumo.

Assegnare agli amministratori solo le autorizzazioni DNS Protection necessarie, secondo il principio del privilegio minimo. Assegnare correttamente i ruoli di Sophos Central spiega come limitare l’accesso dei ruoli.

Prima di ogni rollout, aprire My Products > Endpoint > Policies > Update Management > Base Policy - Update Management > Settings > Select a software package, selezionare Windows > Recommended e verificare che il pacchetto sia assegnato ai dispositivi pilota. Questo requisito riguarda l’integrazione gestita di Endpoint DNS Protection descritta qui, non i dispositivi configurati manualmente con indirizzi di server DNS o un template DoH.

Installare il componente agent

1. Aprire My Products > Endpoint > Computers.
2. Selezionare i computer Windows del gruppo pilota.
3. Selezionare Manage Endpoint Software.
4. Impostare DNS su Install. Con una licenza ZTNA, la voce si chiama DNS & ZTNA.
5. Selezionare Save.

Non procedere subito con tutto il parco. Verificare prima in Central che l’assegnazione software sia arrivata ai dispositivi pilota e che non rimangano avvisi d’installazione. La sola presenza di Endpoint non dimostra che il componente DNS sia stato assegnato.

Come viene gestita una richiesta DNS

1. Sophos Endpoint intercetta il traffico DNS, tranne i domini esclusi esplicitamente.
2. Tutte le altre richieste vengono inoltrate in modo sicuro a DNS Protection tramite HTTPS.
3. DNS Protection restituisce le risposte direttamente all’applicazione richiedente.
4. Le richieste per i domini esclusi vanno al servizio DNS configurato dal sistema o dall’applicazione.
5. Facoltativamente, il DNS locale può riprovare un nome quando DNS Protection restituisce NXDOMAIN perché non è risolvibile pubblicamente.

Senza l’integrazione DNS Protection attiva, il servizio DNS locale gestisce le richieste come in precedenza.

Tenere separati i modelli operativi: collegare Windows manualmente a DNS Protection è un’alternativa e non va distribuito anche come presunto fallback sugli stessi dispositivi. Architettura, porte e controllo dei bypass appartengono alla guida di rete; il percorso DNS centrale tramite SFOS alla guida firewall. Questo articolo resta dedicato al percorso Endpoint gestito.

Pianificare Secure DNS Location e Filtering policy

DNS Protection raggruppa dispositivi e reti in Locations. Per gli endpoint, la Location scelta deve usare Secure DNS come metodo di connessione. La Default location, non modificabile, soddisfa il requisito; in alternativa si può creare una Secure DNS Location separata in DNS Protection.

Una Location distinta è utile se un gruppo pilota, una regione o un’unità organizzativa richiede un filtro diverso. Non sostituisce una selezione accurata dei computer o dei gruppi nella Endpoint policy. Per creare, modificare o dismettere una Location personalizzata per endpoint, seguire Gestire in sicurezza le Location di Sophos DNS Protection e mantenere Secure DNS come metodo di connessione.

La Endpoint policy associa i dispositivi alla Location. La Filtering policy separata di DNS Protection stabilisce quali domini consentire o bloccare. Per impostazione predefinita, DNS Protection blocca domini con Threat Score basso o reputazione pericolosa anche se non è assegnata una Filtering policy o una Domain List consente il dominio. Le decisioni personalizzate sulle categorie non vanno quindi considerate un bypass antimalware.

La procedura completa per creazione, assegnazione, pilota e rollback di queste regole è descritta in DNS Protection Filtering policies. Qui si verifica solo che l’endpoint raggiunga la Location prevista e quindi la Filtering policy attesa.

I domini interni possono richiedere due controlli diversi:

• Una Domain exclusion nella Endpoint policy invia al DNS locale un nome risolvibile solo internamente.
• Una Domain List di autorizzazione in DNS Protection può impedire che un dominio aziendale pubblico venga bloccato per una categoria inadeguata.

Una Domain List non sostituisce una Domain exclusion per le zone DNS private.

Creare la Endpoint policy

Il punto di accesso attuale e documentato ufficialmente è My Products > DNS Protection > Policies > Endpoint policies.

1. Selezionare Add policy.
2. Aggiungere i computer o i gruppi previsti.
3. In Policy Active, verificare che Policy is Active sia attivo. Per una nuova policy lo è per impostazione predefinita.
4. Aprire Settings.
5. Attivare Use Sophos DNS Protection.
6. Scegliere la Default location o una Location personalizzata che utilizzi Secure DNS.
7. Aggiungere i domini interni sotto Domains.
8. Decidere se il DNS configurato dal sistema o dall’applicazione debba riprovare dopo NXDOMAIN.
9. Se servono pagine di blocco, configurare la distribuzione automatica del certificato.
10. Salvare e validare inizialmente solo con il gruppo pilota.

Controllare l’assegnazione effettiva su un dispositivo. Vedere la policy nel portale non dimostra da solo che venga applicata al dispositivo.

Gestire in sicurezza le zone DNS interne

Per zone interne come corp.example, zone Active Directory e namespace Split DNS, Sophos consiglia Domain exclusions esplicite. Tutti i sottodomini del dominio inserito vengono esclusi automaticamente. Le richieste raggiungono così direttamente il servizio DNS previsto dal sistema o dall’applicazione.

Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN è un fallback per nomi non risolvibili pubblicamente. Sophos raccomanda comunque un elenco di esclusioni mantenuto per ottenere le migliori prestazioni. L’opzione non deve quindi sostituire un inventario completo delle zone interne.

Pagine di blocco e certificato

Automatically deploy the DNS Protection signing certificate to devices installa automaticamente il certificato root richiesto sui dispositivi di destinazione. Solo così il browser può mostrare la pagina di blocco Sophos per un dominio HTTPS bloccato senza un avviso sul certificato.

Testare prima la distribuzione nel gruppo pilota, soprattutto con browser dotati di Trust Store proprio o con policy certificati restrittive. L’assenza della pagina non dimostra che DNS Protection abbia consentito il dominio: Sophos indica che un blocco restituisce l’IP del proprio server di block page invece dell’indirizzo di destinazione. Controllare anche il match della policy e i log DNS Protection.

Pilota e validazione

Il gruppo pilota deve coprire almeno:

• un dominio di test pubblico consentito e uno bloccato intenzionalmente;
• nomi interni brevi e FQDN;
• connessioni dall’ufficio, da casa e tramite VPN;
• browser e applicazioni con configurazione Secure DNS o DNS over HTTPS propria;
• la pagina di blocco e la fiducia nel certificato di firma;
• il comportamento quando il servizio non è raggiungibile o la connessione HTTPS è bloccata.

Il test ha esito positivo quando le richieste pubbliche previste compaiono sotto la Location attesa e vengono valutate dalla Filtering policy corretta, le esclusioni interne continuano a essere risolte dal DNS locale e i dispositivi pilota non perdono risoluzioni essenziali.

Analizzare log e report

Secondo Sophos, i dati in DNS Protection > Logs & Reports sono in ritardo di 15-25 minuti rispetto al tempo reale. Le modifiche ai nomi di Location o policy possono richiedere da 30 minuti a quattro ore per comparire. Questi ritardi vanno considerati durante la validazione del pilota.

DNS usage mostra le richieste DNS della rete. DNS usage by source le suddivide per Location e, per Sophos Endpoint, mostra anche utenti e dispositivi. High risk devices aiuta a individuare dispositivi che interrogano domini rischiosi, sospetti o non sicuri. È una prova dell’assegnazione Endpoint più solida del solo indirizzo IP pubblico.

Per Template salvati, limiti di export, conservazione e Live Discover, seguire il runbook completo DNS Protection Reports e Live Discover. Le note seguenti bastano per l’accettazione immediata del pilota, ma non sostituiscono quel workflow di reporting.

Per restringere i risultati, selezionare prima il campo o la colonna in Query, quindi scegliere l’operatore e inserire il valore di confronto. Aggiungere gli altri filtri nello stesso modo; una riga viene mostrata solo se soddisfa tutte le condizioni, quindi i filtri sono combinati con AND. Infine selezionare Generate. Per i valori testuali, =, != e IN distinguono tra maiuscole e minuscole. Gli operatori wildcard ~ e !~, che utilizzano *, non fanno questa distinzione; <, <=, > e >= si applicano solo ai valori numerici.

I grafici a barre e a torta mostrano solo le prime dieci categorie. Per ottenere il set completo, usare anche la tabella filtrata e il relativo export. Occorre distinguere esplicitamente l’ambito: un export della vista corrente applica il periodo selezionato e i filtri Query attivi. Un export degli ultimi 90 giorni ignora invece il periodo selezionato nella vista e applica solo i filtri Query a quella finestra fissa di 90 giorni.

I Template salvati conservano la configurazione del report, non i dati generati o il periodo scelto. Gli Export hanno limiti di righe e colonne diversi in base al formato e i file esportati vengono eliminati dopo 90 giorni. I dati degli incidenti richiedono quindi una conservazione separata da quest’area temporanea.

Risolvere i problemi comuni

Impossibile aggiungere il dispositivo

Controllare prima sistema operativo e tipo di dispositivo. La documentazione Sophos corrente consente solo endpoint Windows, non Windows Server o macOS. Verificare poi Endpoint agent, componente software DNS e accesso a DNS Protection.

I nomi interni non vengono risolti

Aggiungere la zona interessata come Domain exclusion. Controllare quindi server DNS locale, suffisso di ricerca, impostazioni DNS della VPN e policy effettivamente applicata. Un retry ampio dopo NXDOMAIN può aiutare la diagnosi, ma non sostituisce un elenco corretto delle zone.

La pagina di blocco mostra un errore di certificato

Verificare che Automatically deploy the DNS Protection signing certificate to devices sia attivo e che il dispositivo pilota consideri attendibile il certificato root. I browser con Trust Store proprio possono richiedere gestione aggiuntiva.

Il browser sembra aggirare la policy

Browser e applicazioni possono usare un proprio percorso DNS over HTTPS. Controllare prima il Resolver effettivamente utilizzato e l’assegnazione della policy. Un singolo test nel browser senza queste prove non basta a concludere che Endpoint agent o DNS Protection non funzionino.

Impostazioni DNS manuali ed Endpoint policy agiscono insieme

Non mantenere Resolver Sophos inseriti manualmente o un template DoH come fallback insieme alla Endpoint policy. Domain exclusions e retry NXDOMAIN vengono inviati al DNS configurato dal sistema o dall’applicazione; se questo punta di nuovo a DNS Protection, si crea un secondo percorso difficile da diagnosticare. Ripristinare DHCP o il Resolver aziendale seguendo il rollback della guida Windows manuale, quindi ripetere il test.

Un dominio consentito rimane bloccato

Controllare Threat Score, reputazione, categoria ed eventuali target CNAME. Secondo Sophos, una Domain List non può annullare il blocco di sicurezza predefinito. Richiedere la ricategorizzazione di una classificazione palesemente errata invece di creare Allow List sempre più ampie.

Eseguire un rollback controllato

Disattivare Use Sophos DNS Protection nella Endpoint policy interessata oppure rimuovere i dispositivi pilota dalla sua assegnazione. Su un dispositivo pilota verificare poi che vengano nuovamente usati i Resolver configurati dal sistema o dall’applicazione e che funzionino nomi interni e pubblici.

Per una dismissione completa, rimuovere i dispositivi dalla Endpoint policy e confermare nel pilota lo stato disattivato. Non modificare il componente software DNS durante il rollback immediato: in questa procedura Sophos ne documenta l’installazione, ma non un’azione separata di rimozione. Inoltre, quando è denominato DNS & ZTNA, il componente è condiviso con ZTNA. Pianificare un’eventuale pulizia software successiva solo mediante un processo Sophos Endpoint confermato per il tenant e dopo aver verificato che il dispositivo non richieda ZTNA.

Rimuovere il certificato root solo dopo il rollback DNS riuscito e tramite il processo gestito previsto. Disattivare l’opzione automatica o rimuovere l’assegnazione non dimostra che un root già installato sia scomparso. Distribuire il DNS Protection Root Certificate copre distribuzione, validazione e pulizia precisa tramite fingerprint; la pulizia manuale di singoli dispositivi non è adatta a un parco esteso.

Domande frequenti