Comprendere e verificare la dashboard di Sophos DNS Protection

La dashboard di Sophos DNS Protection combina il controllo della configurazione con una sintesi operativa. Si apre in Sophos Central da My Products > DNS Protection > Dashboard. Per una panoramica del servizio, delle licenze e della configurazione iniziale, consulta Sophos DNS Protection, incluso con Xstream Protection.

I dati hanno un ritardo di circa 15-25 minuti, quindi una nuova query di test potrebbe non comparire subito. La dashboard serve per osservare tendenze e avanzamento; View all e Logs & Reports consentono di analizzare le singole query.

Usare correttamente l’assistente

Set up DNS Protection guida la configurazione iniziale, ma non è un test funzionale completo:

Add locations apre My Products > DNS Protection > Locations. È già presente una Default location; l’assistente mostra poi il numero delle location configurate.
Set up your network apre Installers. Copia i DNS Protection IP addresses e, se necessario, scarica il Root Certificate, quindi configura rete, resolver o dispositivi.
Al ritorno, l’assistente indica quante location hanno inviato query. Il valore copre gli ultimi tre mesi e può includere location eliminate di recente.
Create policy apre My Products > DNS Protection > Policies e poi mostra il numero delle policy.
Review logs apre My Products > DNS Protection > Logs & Reports, dove si verificano location, origine e policy.
Deploy to devices apre My Products > DNS Protection > Policies > Endpoint policies. Questo passaggio riguarda Sophos Endpoint; una distribuzione solo di rete non richiede un’Endpoint policy.
Quando Sophos rileva il completamento, mostra Congratulations! Set up appears to be complete.

Hide nasconde l’assistente e Set up DNS Protection lo visualizza di nuovo. Nessuna delle due azioni modifica la configurazione.

Raccomandazione Avanet: non considerare il messaggio di successo come collaudo. Dopo il ritardo di elaborazione, conferma in Logs & Reports una query consentita e una bloccata in modo controllato per ogni location interessata.

Interpretare Usage summary

Selezionando un contatore di Usage summary si apre il relativo report delle ultime 24 ore:

Total DNS queries: tutte le query risolte, consentite e bloccate. Un valore alto, da solo, non indica un incidente.
Security threats blocked: query bloccate per motivi di sicurezza. Analizzane tempestivamente origine e ricorrenza.
Policy violations blocked: query bloccate dalle proprie policy, esclusi i Security blocks. Un aumento può essere intenzionale o indicare un’assegnazione errata.
Active computers: computer attivi nelle ultime 24 ore; compare solo con Sophos Endpoint.
Active locations: location da cui è stata ricevuta almeno una query. Non dimostra una disponibilità continua.

I contatori non devono coincidere. Un segnale significativo è un volume inatteso insieme all’assenza di location previste; verificalo nei report dettagliati filtrati per location. Blocchi senza traffico di test previsto richiedono il controllo di origine, dominio e policy.

Leggere DNS query volume

DNS query volume mostra 3 hours, 24 hours o 30 days e consente il confronto con Last week o Last month (4 weeks ago). Le viste 24 hours e 30 days mostrano anche la media giornaliera del mese precedente.

Un calo può dipendere da scarsa attività, guasto di una sede, modifica dell’inoltro DNS o assegnazione errata. Un picco può derivare da aggiornamenti, servizi cloud, una nuova sede o client malfunzionanti. Un totale stabile non esclude la perdita di una location. Il grafico non è un monitor di disponibilità: usa View all e filtra i report per periodo e location.

Valutare domini principali e computer protetti

Top domain queries copre sette giorni e separa Permitted domains, Security blocks e Policy blocks. Un dominio frequente non è necessariamente sospetto: sistemi operativi, CDN, prodotti di sicurezza e applicazioni SaaS generano molte query. Valuta categoria, finalità aziendale, origine e orario. Risali dai Security blocks ripetuti al dispositivo di origine; molti Policy blocks possono indicare una regola efficace o un ciclo di tentativi non necessario.

Con Sophos Endpoint, DNS usage from protected computers elenca i primi sette computer con Username, Device name or ID e query consentite o bloccate. View all usa DNS usage by source per Permitted domains e Policy blocks, e High risk devices per Security blocks. È una lista di priorità, non un inventario completo.

Convalidare la configurazione in sicurezza

Non usare mai un vero dominio dannoso né una policy di produzione con ampia assegnazione:

Annota l’assegnazione corrente della policy per la location di test.
Usa una location di test dedicata o un gruppo pilota molto ristretto. Assegna una policy temporanea con un solo dominio innocuo in una block domain list. Non bloccare un’intera categoria per gli utenti di produzione.
Dallo stesso ambito, interroga un dominio consentito noto e il dominio di test innocuo.
Attendi almeno 25 minuti. In Logs & Reports, verifica location, origine, policy e decisione per entrambe le query.
Controlla la reazione coerente di Total DNS queries, del contatore di blocco e di Active locations. Con Sophos Endpoint, controlla anche il report dei computer.
Rimuovi la voce di test e ripristina l’assegnazione annotata. Ripeti la query consentita e confermala in Logs & Reports.

Solo una query consentita insieme a una bloccata convalida trasporto e applicazione della policy. Il corretto caricamento di una pagina non prova che la query sia passata da DNS Protection.

Capire ritardi e differenze apparenti

Le finestre sono diverse: 24 ore per i collegamenti dei contatori, sette giorni per Top domain queries e il report dei computer, fino a tre mesi per l’assistente. I valori non devono quindi coincidere. Una location eliminata può restare visibile; Active computers manca senza Sophos Endpoint; un dominio può restare in classifica senza attività odierna. Policy violations blocked e Security threats blocked sono tipi distinti.

Per l’intervallo preciso di un incidente usa Logs & Reports; la dashboard serve per orientarsi.

Risolvere i problemi per sintomo

L’assistente non si completa

Apri ogni passaggio dall’assistente e torna a Dashboard. Verifica che almeno una location invii traffico, che esista una policy e che Logs & Reports contenga query. In una configurazione solo di rete, Deploy to devices può restare intenzionalmente inutilizzato; la verifica funzionale conta più della checklist completa.

Non compaiono query, o sono troppo poche

Attendi 25 minuti dopo il test. Controlla i resolver, eventuali percorsi che aggirano DNS Protection, l’IP sorgente pubblico o l’assegnazione Secure DNS e il filtro per location in Logs & Reports. Se anche il report dettagliato è vuoto, il guasto è a monte della dashboard, di solito nell’inoltro DNS, nella distribuzione del dispositivo, nella raggiungibilità o nell’assegnazione della location.

Contatori o domini principali sembrano errati

Confronta lo stesso periodo e controlla dominio, motivo, origine e policy applicata nel report dettagliato. Una classifica di sette giorni reagisce più lentamente di un report di 24 ore.

Active locations è superiore al previsto

L’assistente copre tre mesi e può conservare voci eliminate di recente. Usa Locations per l’inventario corrente e report filtrati per data per l’attività recente.

Active computers o il report dei computer manca

Queste aree richiedono Sophos Endpoint. La loro assenza è normale in una distribuzione limitata a rete, firewall o resolver.

Prendere decisioni operative

Ogni giorno controlla i Security threats blocked inattesi, i cali di volume e le location previste mancanti. Ogni settimana confronta Last week, valuta i domini ricorrenti e verifica che i Policy blocks riflettano ancora le regole desiderate. Prima di consentire o bloccare un dominio, esamina report dettagliato, origini, finalità aziendale e ambito della policy; prova le modifiche in un ambito ristretto e convalidale di nuovo.