Configurare le Filtering Policy di Sophos DNS Protection

Una Filtering Policy stabilisce quali domini aggiuntivi DNS Protection consente o blocca per una Location mediante categorie web e Domain Lists. A ogni Location può essere assegnata una sola Filtering Policy. DNS Protection continua comunque a bloccare i domini con un Threat Score basso o una reputazione pericolosa anche in assenza di una policy e persino quando una Domain List li consente.

La procedura sicura consiste quindi nel censire Locations e requisiti, assegnare una nuova policy soltanto a una Location pilota, scegliere le categorie con prudenza, limitare le eccezioni, verificare il risultato in Logs & Reports e solo in seguito aggiungere altre Locations.

Distinguere una Filtering Policy da una Endpoint policy

In My Products > DNS Protection > Policies sono disponibili due tipi di policy distinti:

• Le Filtering policies prendono le decisioni di filtraggio per le Locations o i firewall assegnati.
• Le Endpoint policies collegano i dispositivi gestiti a una Secure DNS Location tramite Sophos Endpoint. La Filtering Policy associata continua a prendere la decisione effettiva di consentire o bloccare.

Una Filtering Policy non installa un agente endpoint e non assegna computer. Configurare Sophos DNS Protection per gli endpoint descrive il percorso dei dispositivi. Configurare Sophos DNS Protection con Sophos Firewall illustra il percorso DNS tramite firewall, le DNS Request Routes interne e DHCP.

Pianificare prima di creare la policy

Per ogni Location, registra almeno l’uscita Internet, le reti interessate, il responsabile, i domini critici per l’attività e la data di revisione. Più reti possono usare la stessa Location e quindi la stessa Filtering Policy. Se una rete guest, una rete di server o un gruppo pilota richiede regole diverse, occorre una Location separata o un percorso di assegnazione degli endpoint distinto.

Le assegnazioni non costituiscono un elenco ordinato di regole: non esistono una prima e una seconda Filtering Policy per la stessa Location. Poiché è possibile assegnare una sola policy, i conflitti vanno risolti definendo chiaramente i confini delle Locations, non attraverso la priorità delle policy. Anche la Default location, che non è modificabile, può essere assegnata a una policy.

Per un progetto pilota a basso rischio, crea una nuova policy invece di modificare direttamente quella di produzione. Le Locations esistenti rimangono così invariate, mentre una Location pilota dedicata riceve le nuove impostazioni.

Creare e assegnare una Filtering Policy

1. Apri My Products > DNS Protection > Policies > Filtering policies.
2. Seleziona Add Policy e inserisci un nome chiaro, ad esempio DNS-Pilot-Office-Zurich.
3. In Locations and firewalls, sposta la Location pilota da Available a Assigned to this policy.
4. Apri Settings.
5. In Filtering by web category, seleziona prima un Built-in Filter Profile oppure usa Let me specify.
6. Facoltativamente, in Filtering by domain lists, attiva Include domain lists when filtering e aggiungi gli elenchi necessari.
7. Imposta le opzioni necessarie in Safe search for search engines and YouTube.
8. Scorri verso l’alto e seleziona Save.

Sophos supporta un massimo di 50 Filtering Policies, ma una sola per Location. Se non è possibile assegnare una Location, verifica innanzitutto in Filtering policies se è già elencata in un’altra policy. Non ampliare entrambe le policy. Documenta l’assegnazione prevista e rimuovi la Location dalla policy precedente mediante una modifica controllata.

Scegliere le categorie in modo consapevole

Un Built-in Filter Profile mostra Allow o Block per ogni Category Group e categoria. I singoli valori non possono essere modificati. Per esigenze diverse, seleziona Let me specify:

• Allow consente tutte le categorie di un Category Group.
• Block blocca tutte le categorie del gruppo.
• Specify espande il gruppo, consentendo di impostare ogni categoria su Allow o Block.

Mantieni restrittive per impostazione predefinita le categorie di sicurezza. Per le categorie di infrastruttura come Content Delivery, CRL o OCSP, verifica prima se da esse dipendono aggiornamenti, convalida dei certificati o servizi cloud. Le categorie relative a produttività, social media e larghezza di banda rappresentano decisioni aziendali, non controlli generici contro il malware. Non bloccare Uncategorized senza un progetto pilota, perché i nuovi servizi legittimi possono comparire temporaneamente in questa categoria.

Aprire un’intera categoria per correggere una sola classificazione errata crea accessi non necessari. Una Domain List mirata è una prima misura migliore. Incolla l’URL completo in URL nel portale SophosLabs Intelix, seleziona Analyze e registra nella modifica la categoria web, il Threat Score e l’URL del report. Se la categoria è chiaramente errata, apri Sophos Support, scegli Web Address (URL) in Submit a Sample e inserisci il sito in Web Address (URL). In Product/Services, scegli Sophos XG Firewall e specifica in Comments che la richiesta riguarda DNS Protection anziché Sophos Firewall. Aggiungi i tuoi dati di contatto e seleziona Submit URL.

Domain Lists e precedenza delle decisioni

Il filtraggio per categoria controlla intere categorie web. Le Domain Lists forniscono un’eccezione mirata o un blocco aggiuntivo per domini specifici. Dopo Add list, seleziona un elenco esistente, confermalo con Save e scegli Allow o Block in Actions per ogni elenco.

La decisione effettiva rispetta questi limiti:

1. Una Domain List ha la precedenza sulla normale decisione della categoria: Allow può esentare un dominio da una categoria bloccata, mentre Block può rendere più restrittiva una categoria consentita.
2. La protezione di sicurezza di base rimane prioritaria. I domini che SophosLabs classifica come Threat o Security Risk a causa del Threat Score o della reputazione restano bloccati anche in un elenco di elementi consentiti.
3. Un dominio consentito può comunque non funzionare se il relativo CNAME punta a una destinazione appartenente a una categoria bloccata.

Limita le eccezioni ai domini effettivamente necessari e documentane scopo, responsabile e data di revisione. Non utilizzare un elenco generico. I domini aziendali interni risolvibili pubblicamente possono essere consentiti se, ad esempio, Parked Domains li blocca erroneamente. Le zone DNS private richiedono comunque il corretto percorso DNS interno o Endpoint Exclusion; un elenco di elementi consentiti non le rende risolvibili pubblicamente.

Configurare Safe Search e YouTube

Enforce Safe Search for major search engines applica Safe Search a Google, Yahoo, Bing, DuckDuckGo e Yandex. Enforce YouTube restrictions offre Strict e Moderate; Moderate lascia disponibile una selezione di video più ampia rispetto a Strict.

Verifica queste opzioni con i browser, i motori di ricerca, i metodi di accesso a YouTube e i dispositivi gestiti effettivamente in uso. Non sostituiscono un controllo completo del web o delle applicazioni. Se un client utilizza un percorso DNS diverso, neppure la Filtering Policy può operare in modo affidabile.

Modificare o eliminare una policy esistente

Per modificare una policy, apri My Products > DNS Protection > Policies > Filtering policies, selezionala, modifica le assegnazioni o le Settings e salva. Prima di cambiare una categoria in produzione, registra lo stato precedente. Idealmente, documenta il nome della policy, le Locations, il profilo, le singole categorie, le Domain Lists e le opzioni Safe Search.

L’applicazione di un aggiornamento della policy può essere ritardata dal TTL DNS di un dominio già risolto. Una destinazione che rimane raggiungibile subito dopo Save non dimostra quindi che l’assegnazione sia errata. Risolvi nuovamente il nome dopo la scadenza del TTL, quindi controlla i report.

Per eliminare una policy, selezionala nella pagina Filtering policies e scegli Delete. Documenta prima le Locations assegnate e il relativo percorso sostitutivo. L’eliminazione rimuove i controlli personalizzati di categorie e Domain Lists della policy; rimane attivo il blocco di base per i domini con un Threat Score basso o una reputazione pericolosa.

Eseguire il progetto pilota, verificare e distribuire

Per il progetto pilota, definisci un dominio aziendale consentito, un dominio innocuo bloccato deliberatamente per il test, un’eccezione mirata di autorizzazione e un’eccezione mirata di blocco. Verifica inoltre i servizi critici di aggiornamento, certificati, accesso e cloud. Non scegliere come dominio di test un dominio realmente dannoso.

In DNS Protection > Logs & Reports, il report DNS usage by source è utile perché mostra le richieste per Location e, per Sophos Endpoint, anche per utente e dispositivo. Filtra per Location, Domain, Status o Policy Action e verifica quanto segue:

• La richiesta compare nella Location prevista.
• L’azione effettiva corrisponde alla categoria o alla Domain List.
• Un’eccezione di autorizzazione apre soltanto il dominio previsto.
• Un’eccezione di blocco produce il blocco atteso e, se applicabile, la Sophos Block Page.
• I servizi critici non mostrano un nuovo aumento dei domini bloccati.

Secondo Sophos, i report presentano un ritardo di 15–25 minuti rispetto al tempo reale. La visualizzazione dei nomi di Location o di policy modificati può richiedere da 30 minuti a quattro ore. Includi questo ritardo nel piano di test per evitare di modificare prematuramente una policy funzionante.

Dopo il completamento del progetto pilota, aggiungi una sola Location chiaramente delimitata alla volta, attendi per un periodo di osservazione e poi prosegui. Utilizza criteri di accettazione distinti per le reti di server, guest e utenti.

Rollback

Il rollback funzionale più rapido consiste nel ripristinare lo stato precedente documentato: rimuovi la Location pilota dalla nuova policy e riassegnala a quella precedente, oppure ripristina i valori precedenti delle Settings modificate. Salva, considera il TTL DNS e il ritardo dei report, quindi ripeti gli stessi test positivi e negativi.

Non eliminare una Domain List durante il rollback. Prima rimuovila dalla policy o ripristina il valore precedente documentato della relativa Action. Un elenco ancora utilizzato da una policy non può essere eliminato. In questo modo si conserva la tracciabilità e si può ripristinare l’eccezione dopo l’analisi della causa principale.

Risoluzione dei problemi

Un dominio consentito rimane bloccato

Per prima cosa, invia l’URL completo a URL > Analyze nel portale SophosLabs Intelix e registra categoria web, Threat Score e URL del report. Quindi interroga la catena CNAME con dig +noall +answer example.com CNAME oppure, in Windows, con nslookup -type=CNAME example.com; ripeti la query per ogni destinazione restituita finché non compare più alcun CNAME. Controlla separatamente in Intelix ogni nome della catena. Solo a questo punto confronta Category Action, Domain List, Action dell’elenco e assegnazione effettiva della Location. Se una categoria è chiaramente errata, apri Sophos Support, scegli Web Address (URL) in Submit a Sample e inserisci il sito in Web Address (URL). In Product/Services, scegli Sophos XG Firewall e specifica in Comments che la richiesta riguarda DNS Protection anziché Sophos Firewall. Aggiungi i tuoi dati di contatto e seleziona Submit URL. Usa un’eccezione temporanea mirata soltanto se la protezione di sicurezza di base lo consente.

Un blocco non viene applicato subito dopo una modifica

Attendi la scadenza del TTL DNS e risolvi nuovamente il nome su un client pilota. Attendi poi 15–25 minuti per i dati dei report. Non aggiungere immediatamente un blocco più ampio: verifica prima che il client utilizzi il percorso DNS Protection previsto e la Location corretta.

Una Location riceve la policy errata

In Filtering policies, controlla in quale policy è elencata la Location. Poiché può essere applicata una sola Filtering Policy per Location, non esiste una priorità con cui una seconda policy possa prevalere. Per i dispositivi endpoint, verifica inoltre quale Endpoint policy collega il dispositivo a quale Secure DNS Location.

La Block Page o i report non sono disponibili

Un blocco DNS restituisce l’indirizzo IP del server della Sophos Block Page. Se la pagina non viene visualizzata, controlla comunque per prima cosa l’evento della policy nel report. L’attendibilità del certificato, la raggiungibilità di blockpage.dnsprotection.sophos.com e il percorso DNS effettivo sono tipi di errore distinti. Se anche i report sono vuoti, attendi il ritardo di generazione dei report, quindi controlla Location, resolver del client e percorsi alternativi DoH, VPN o del browser.