Analizzare i report Sophos DNS Protection e Live Discover

Per i controlli quotidiani si parte da My Products > DNS Protection > Logs & Reports, dove è possibile filtrare, visualizzare ed esportare utilizzo DNS, origini e dispositivi ad alto rischio. Threat Analysis Center > Live Discover > DNS Protection integra i report con indagini più dettagliate nel Data Lake. Non sostituisce il Report Generator e richiede anche un entitlement Sophos EDR, XDR o MDR.

Procedura rapida: in Report Generator selezionare template e Time frame, aggiungere i filtri in Query e fare clic su Generate. In Live Discover eseguire prima una query DNS Protection integrata su un periodo breve. Usare Designer Mode e query personalizzate solo dopo; una nuova query DNS deve avere Data Lake come Source.

Distinguere Dashboard, report e Live Discover

Il Dashboard riassume utilizzo, volume delle query e domini principali. La tabella dei domini copre gli ultimi sette giorni, mentre i grafici hanno periodi fissi propri. Una metrica o View all apre il report corrispondente. Dashboard e report hanno un ritardo di 15-25 minuti rispetto al tempo reale.

Logs & Reports serve per analisi operative ripetibili con periodi, filtri, colonne, grafici, template salvati ed esportazioni. Live Discover legge record del Data Lake e permette query SQL più granulari, ad esempio per azione della policy, dominio o location. Non recupera automaticamente dati live dall’endpoint e non va confuso con una Endpoint Query.

Con l’inoltro di rete, l’attribuzione usa la Location riconosciuta e l’IP sorgente; il report non identifica automaticamente l’utente dietro un resolver locale.
Con DNS Protection per endpoint, DNS usage by source può mostrare anche location, utenti e dispositivi. Sono disponibili le colonne User e Device.
User mostra, secondo Sophos, username o nome dispositivo da cui proviene la query; Device mostra il device ID. Questi campi richiedono Sophos Endpoint.
I campi DNS in xgfw_data includono src_ip e src_location, ma nessun campo DNS documentato per utente o device ID. Una query personalizzata non deve presumerli.

Percorsi e licenze sono approfonditi in Sophos DNS Protection con Sophos Firewall e Licenze Sophos Central.

Selezionare e filtrare un report

In Report templates, DNS usage mostra le richieste della rete; DNS usage by source le raggruppa per location e, con Sophos Endpoint, per utenti e dispositivi; High risk devices mostra i dispositivi che interrogano siti rischiosi, sospetti o non sicuri.

In Time frame scegliere un periodo o Custom. In Query scegliere colonna e valore, quindi l’operatore: = e != confrontano rispettando maiuscole/minuscole; <, <=, > e >= valgono solo per numeri; IN confronta una lista separata da virgole rispettando le maiuscole; ~ e !~ usano senza distinzione una wildcard expression, dove * è il wildcard. Più filtri sono uniti con AND. Anche un clic su un valore della tabella lo aggiunge a Query. Fare poi clic su Generate.

Il selettore in alto a destra aggiunge le colonne offerte dal template e dall’eventuale Sophos Endpoint. Le intestazioni ordinano i risultati. Con la data visibile, Central raggruppa righe uguali per minuto con 1, 8 o 24 ore; per ora iniziale con 7 giorni o Custom fino a 7 giorni; per giorno con timestamp 00:00 con 30 giorni o Custom oltre 7 giorni.

Non sovrainterpretare Status: per un URL errato, non valido o non più esistente, Status mostra n/a per query A, AAAA, CNAME o HTTPS e Allowed per le altre. Non prova che la destinazione sia raggiungibile o sicura.

I grafici sono Bar, Horizontal bar, Pie, Line e Stack-area. L’icona della chiave regola gli assi; cambiando tipo si ripristinano quelli predefiniti. Bar e Pie mostrano solo le prime dieci categorie.

Salvare ed esportare

Save Template salva filtri Query, tipo e assi del grafico, ordinamento e colonne in Saved Templates, ma non dati o periodo. Il limite è 1.000 template complessivi tra DNS Protection, ZTNA e Sophos Firewall reports.

Generare direttamente PDF, CSV o HTML, oppure usare Schedule per esportazioni giornaliere, settimanali o mensili. Sono ammessi 200 schedule e un Template Name di 64 caratteri. Limiti: PDF 10.000 righe/15 colonne, HTML 10.000/23, CSV 100.000/23. Tutti gli export compaiono in Scheduled Exports e vengono eliminati dopo 90 giorni. Per dati personali è preferibile un link protetto dalle credenziali Central a un allegato, applicando comunque le regole di destinatari e cancellazione.

Analizzare i dati DNS con Live Discover

Aprire Threat Analysis Center > Live Discover > DNS Protection.
Selezionare una query Data Lake integrata senza attivare Designer Mode.
In Select a Time Period scegliere un breve periodo con attività nota e fare clic su Run Query. Una query copre al massimo 30 giorni; dividere periodi più lunghi in finestre separate e non sovrapposte.
Dopo un risultato, attivare Designer Mode e usare Edit o Create new query. Per una nuova query selezionare Data Lake come Source.
Nel dialogo SQL aprire Schema, quindi Data Lake > Firewall > xgfw_data.

Questo test separa dati o autorizzazioni mancanti da un errore della query. Non viene fornito SQL: il mapping xgfw_data e lo schema del tenant sono vincolanti; non si devono inventare campi, valori o join.

Limite esatto dello schema DNS documentato

Sophos documenta esattamente questi campi DNS Protection in xgfw_data:

action, bytes, dns_qid, dns_qname, dns_qtype, dns_duration, domain, domain_category, domain_risk, hits, log_type, log_component, object_name, protocol, policy_name, query_class, query_flags, query_size, reason, response_code, response_records_num, response_ip_num, resolved_ip, response_type, response_name, response_class, response_ttl_list, response_size, response, riskscore, security_status, src_ip, src_port, src_location, timestamp.

log_type=DNS e log_component=FE-DNS identificano un log DNS Protection. object_name è la Domain List quando l’azione è Reject e il motivo Custom Domain Block or Allow. timestamp indica l’elaborazione; hits il numero di richieste; bytes la dimensione totale richiesta/risposta. I campi response_* descrivono la risposta e security_status la convalida DNSSEC.

Il nome xgfw_data e l’area Firewall non provano che ogni altro campo Firewall sia valorizzato né rendono User o Device disponibili in Live Discover. Verificare sempre Schema nel tenant.

Convalidare e risolvere risultati vuoti

Generare una richiesta nota da una location univoca o da un endpoint pilota, attendere 15-25 minuti e verificare periodo, dominio, action o status, policy, location e, se presenti, User e Device. Eseguire poi una query DNS Protection integrata sullo stesso periodo.

Se il report è vuoto, controllare Time frame, fuso orario, filtri e maiuscole per =, != e IN; tutti i filtri devono corrispondere. Verificare quindi percorso rete/endpoint e location. Un nuovo nome di location o policy può richiedere 30 minuti-4 ore in Logs & Reports.

Se i report contengono dati ma Live Discover no, controllare entitlement EDR/XDR/MDR, ruolo, categoria DNS Protection, Data Lake come Source, periodo e Firewall > xgfw_data. Eseguire invariata la query integrata. Se fallisce solo quella personalizzata, copiare i campi da Schema e semplificarla gradualmente.

Se entrambi restano vuoti, ripetere una richiesta nota e confermare resolver o Endpoint policy effettivi, riconoscimento della location e Filtering Policy prevista. Per Sophos Support annotare ora, tenant, location, dominio di test, report template e query integrata, senza dati personali superflui.