Sophos DNS Protection

Sophos DNS Protection è un servizio DNS cloud di Sophos Fusion. Combina risoluzione DNS sicura, blocco delle minacce, policy personalizzate, elenchi di domini e report. Prima di configurarlo, scegliere il percorso di distribuzione corretto: Xstream Protection copre la protezione autonoma di reti e location, mentre Workspace Protection copre la protezione DNS gestita degli endpoint Windows tramite Sophos Endpoint. Entrambe le licenze supportano DNS over HTTPS, ma non sono intercambiabili.

Decisione diretta: scegliere il percorso di rete per una rete di sede, un firewall o dispositivi non gestiti. Scegliere il percorso endpoint per dispositivi Windows gestiti da proteggere anche fuori dalla rete aziendale. Non combinare i due percorsi sullo stesso dispositivo senza pianificazione.

Scegliere il percorso di distribuzione appropriato

Reti e dispositivi non gestiti con Xstream Protection

DNS Protection autonomo fa parte dell’abbonamento Xstream Protection di Sophos Firewall e non include Sophos Endpoint. I dispositivi di rete utilizzano un resolver centrale, un firewall o direttamente le destinazioni DNS assegnate al tenant. Location, policy e report vengono gestiti in Sophos Fusion.

Prima confrontare i bundle Sophos Firewall per delimitare la licenza. Poi usare Pianificare e configurare DNS Protection nella rete per scegliere il percorso DNS. Se Sophos Firewall funge da resolver e forwarder, seguire Configurare Sophos DNS Protection con Sophos Firewall.

Endpoint Windows con Workspace Protection

DNS Protection for endpoints è una funzione di Workspace Protection. Sophos Endpoint inoltra in modo protetto a DNS Protection il traffico DNS dei dispositivi Windows supportati. Questo percorso è concesso in licenza per dispositivo; il solo abbonamento Xstream non dà diritto a utilizzarlo.

Workspace Protection include anche Protected Browser, ZTNA ed Email Monitoring System. Ciò non rende DNS Protection una funzione di questi prodotti: anche l’integrazione con Protected Browser resta un percorso DNS endpoint separato. Licenze di Sophos Fusion spiega licenze e consumo; Configurare DNS Protection per gli endpoint tratta installazione, policy e test pilota.

Prerequisiti per la configurazione

1. Confermare la licenza: Xstream per DNS di rete autonomo o Workspace Protection per Endpoint DNS. Non dedurre il diritto d’uso dal nome del prodotto visualizzato.
2. Verificare l’accesso: il percorso è My Products > DNS Protection. Ciò che un amministratore può vedere e modificare dipende dai ruoli amministrativi definiti in Sophos Fusion. Applicare il privilegio minimo.
3. Definire cosa proteggere: documentare se vengono protetti Networks, Endpoints o Unmanaged devices. La scelta determina percorso DNS, licenza e guida.
4. Definire gruppo di test e criterio di successo: scegliere una location o un gruppo limitato e annotare quale richiesta consentita e bloccata dovrà apparire in Dashboard e Reports.
5. Verificare la privacy: prima della distribuzione, chiarire quali dati DNS vengono trattati e quale regione Sophos Fusion è stata scelta per il tenant.

Ad esempio, un’azienda può provare la rete della sede Centrale mediante il percorso di rete e separatamente un piccolo gruppo Windows-Pilot mediante il percorso endpoint. I nomi sono liberi; ogni gruppo deve seguire esattamente un percorso documentato e le richieste devono essere attribuibili alla policy prevista.

Come interagiscono le aree di Sophos Fusion

In My Products > DNS Protection, diverse aree formano un unico flusso operativo:

• Locations assegna le richieste DNS a un contesto di rete o Secure DNS.
• Policies definisce il filtro desiderato.
• Domain lists aggiunge decisioni mirate di autorizzazione o blocco.
• Dashboard offre una rapida panoramica operativa.
• Reports serve per convalida e analisi.

Le guide collegate descrivono le rispettive procedure. Questa panoramica orienta l’utente e non ripete i passaggi per impostare location, policy e certificati o lavorare con i report.

Convalida e risultato previsto

Dopo il test pilota, non basta che funzioni la risoluzione dei nomi:

• i domini consentiti vengono risolti e quelli volutamente vietati vengono bloccati;
• le richieste di test compaiono in Dashboard o Reports dopo il ritardo previsto dal prodotto;
• le richieste di rete vengono attribuite alla location prevista;
• con Endpoint DNS Protection sono visibili anche i metadati del dispositivo o dell’utente, se disponibili;
• il percorso non scelto non interviene accidentalmente come secondo resolver.

Se manca questo risultato, non ampliare subito le policy. Stabilire prima se il problema riguarda il percorso di rete o endpoint. Per rete, firewall o location usare le guide di rete; per agente, assegnazione dispositivi o policy endpoint usare la guida endpoint. La diagnosi resta così limitata al percorso dati attivo senza mescolare due percorsi distinti.

Pianificare privacy e regioni

DNS Protection tratta dati delle richieste DNS quali IP pubblico di origine, dominio richiesto, ora e risposta DNS. Nome utente e nome del dispositivo endpoint vengono trattati esclusivamente con Endpoint DNS Protection. I dati servono ad applicare le policy, generare report, analizzare minacce e risolvere problemi. Servono inoltre al miglioramento e all’innovazione del prodotto, comprese tecniche di rilevamento e sicurezza e ottimizzazione delle prestazioni. Sophos Engineering, SophosLabs e Sophos AI possono usarli anche per sviluppo del prodotto, analisi, rilevamento delle minacce, ricerca e miglioramento continuo.

Secondo il Sophos Privacy Data Sheet, i dati DNS Protection utilizzabili dal cliente sono conservati in Sophos Fusion per 90 giorni, i log diagnostici per 30 giorni e i dati di configurazione finché il servizio non viene più usato. Trattamento e archiviazione avvengono nella regione scelta alla creazione dell’account Sophos Fusion. Le richieste DNS vengono invece instradate a un punto di presenza globale del resolver idoneo e trattate lì solo temporaneamente, prima di inviare i dati alla regione Fusion. La regione di gestione e la posizione del resolver non coincidono.

Oltre a US ed EU, Sophos elenca Australia, Brazil, India, Japan e Canada come regioni di gestione. Disponibilità regionale e sub-responsabili possono cambiare: verificare i dati attuali prima della distribuzione e durante le revisioni periodiche. Privacy e condivisione dei dati in Sophos Fusion descrive la governance generale.

Ripristino sicuro e limiti della risoluzione dei problemi

Questa panoramica non include volutamente un interruttore universale: il ripristino sicuro varia tra DNS di rete, Sophos Firewall e policy endpoint. Prima di una modifica, documentare il resolver o la policy precedente, l’assegnazione del gruppo di test e il comportamento atteso. In caso di errore, ripristinare solo il percorso interessato seguendo la guida collegata, poi verificare di nuovo la risoluzione interna e pubblica.

Se non è possibile determinare con certezza il percorso attivo o manca un ripristino documentato per la variante in uso, fermarsi. Non eliminare location, policy o componenti dell’agente sulla base di ipotesi. Coinvolgere prima gli amministratori responsabili della rete o degli endpoint e, se necessario, rivolgersi a Sophos Support con i dati di test registrati.

Operatività e ciclo di vita del prodotto

La cronologia dei rilasci spiega la separazione: DNS Protection autonomo ha raggiunto la disponibilità generale l’11 giugno 2024. L’integrazione di DNS Protection con Sophos Endpoint è stata annunciata come Early Access il 24 novembre 2025 e reindirizzava le richieste DNS tramite HTTPS. Sono tappe storiche, non indicazioni su uno stato EAP, EOL o ritiro attuale.

Durante l’operatività, controllare periodicamente licenza, ruoli amministrativi, location, policy, elenchi di domini, report, conservazione dei dati e percorso di ripristino testato. Convalidare prima le modifiche con una location o un gruppo limitato. La guida e le versioni attuali prevalgono sugli annunci storici.