Sophos DNS Protection voor Endpoints configureren
De Endpoint DNS Protection Policy koppelt Sophos DNS Protection rechtstreeks aan Sophos Endpoint. De agent onderschept DNS-aanvragen en stuurt ze via HTTPS versleuteld naar de Sophos-dienst. Dit werkt ook buiten het bedrijfsnetwerk zonder lokale DNS-servers handmatig te wijzigen.
De functie is niet hetzelfde als Web Control. DNS Protection beslist op domeinniveau, terwijl Web Control aanvullende webcategorieën en Endpoint-webinspectie biedt.
Vereisten
Voor de actuele Endpoint-integratie gelden:
- passende Workspace Protection-licentie
- Sophos Endpoint Agent op doelapparaten
- ondersteund Windows Endpoint-besturingssysteem
- geen Windows Server- of macOS-doelapparaten
- compatibel Endpoint-softwarepakket
- HTTPS-verbinding met Sophos DNS Protection
Sophos vereist momenteel uitdrukkelijk het pakket FTS 2025.2.3.31.2 Required for DNS Protection Update. Hiervoor wordt dit pakket onder Windows gekozen in de Endpoint Update Management Base Policy. Sophos noemt deze vereiste tijdelijk; controleer daarom vóór iedere nieuwe uitrol of ze nog geldt.
Werking van de Endpoint-integratie
- De Endpoint Agent onderschept DNS-aanvragen.
- Niet-uitgesloten aanvragen gaan versleuteld naar DNS Protection.
- Antwoorden gaan rechtstreeks terug naar de applicatie.
- Uitgesloten interne domeinen gaan naar de lokaal of in de applicatie geconfigureerde DNS-dienst.
- Optioneel kan een publiek niet-oplosbare naam na
NXDOMAINopnieuw via lokale DNS worden geprobeerd.
Sophos adviseert expliciete domeinuitzonderingen voor interne zones. Dit is sneller en voorspelbaarder dan altijd een tweede poging na NXDOMAIN.
Agentcomponent installeren
Selecteer geschikte Windows Endpoints onder My Environment > Computers & Servers. Afhankelijk van de licentie verschijnt in Manage Software DNS of DNS & ZTNA.
Controleer na Install en Save:
- Agent Mode blijft zoals gepland
- DNS-component bereikt
Installed - apparaat heeft actuele Endpoint-software
- geen installatie- of herstartalerts zijn open
Softwaretoewijzing kan onafhankelijk van het normale updatevenster starten.
Secure DNS Location bepalen
DNS Protection gebruikt Locations voor toewijzing aan filterregels. Endpoints gebruiken een Location met Secure DNS. De onveranderlijke Default location of een eigen Location kan worden gebruikt.
Gescheiden Locations zijn nuttig wanneer mobiele apparaten, landen of organisatieonderdelen verschillende regels nodig hebben. Een Location vervangt geen correcte policydoelgroep.
Filtering Policy aan de Location toewijzen
De Endpoint-policy bepaalt welke apparaten DNS Protection gebruiken en onder welke Secure DNS Location ze verschijnen. De eigenlijke categorie- en domeinfiltering wordt vastgelegd in een afzonderlijke Filtering policy van die Location.
Per Location kan slechts één Filtering Policy gelden. Sophos staat tenantbreed maximaal 50 van deze policies toe. Een ingebouwd filterprofiel kan niet rechtstreeks worden gewijzigd; gebruik Let me specify voor eigen categoriebeslissingen.
Domain Lists overschrijven de normale categoriebeslissing: een Allow-list kan een domein uit een geblokkeerde categorie vrijgeven, een Block-list kan het ondanks een toegestane categorie blokkeren. Sophos blijft echter domeinen met een slechte Threat Score of gevaarlijke reputatie blokkeren. Een Allow-list is daarom geen algemene malwarebypass.
Interne bedrijfsdomeinen kunnen aanvullend in een toegestane Domain List staan, zodat bijvoorbeeld ZTNA- of interne diensten niet door een categorie als Parked Domains worden geblokkeerd. Dit vervangt niet de Endpoint-domeinuitzondering voor namen die uitsluitend door de interne DNS-server kunnen worden opgelost.
Endpoint Policy maken
Het actuele pad is My Products > DNS Protection > Policies > Endpoint policies.
- Kies Add policy.
- Voeg computers of computergroepen toe.
- Activeer de policy.
- Schakel onder Settings Use Sophos DNS Protection in.
- Kies de passende Secure DNS Location.
- Voeg interne domeinuitzonderingen toe.
- Stel blokkeerpagina’s en certificaatdistributie in.
- Sla op en test met een pilotgroep.
De volgorde van Endpoint DNS Policies bepaalt, net als bij andere Central-policies, welke policy een apparaat ontvangt.
Interne DNS-zones
Interne namen zoals corp.example, Active Directory-zones of Split DNS-domeinen mogen niet alleen publiek worden opgelost.
Een concrete domeinuitzondering is het veiligst. Alle subdomeinen worden dan eveneens uitgesloten en via normale systeem-DNS opgelost.
Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN is een fallback, maar minder efficiënt dan een onderhouden lijst interne zones.
Blokkeerpagina’s en certificaat
Voor HTTPS-domeinen heeft de browser een vertrouwd DNS Protection-certificaat nodig om een duidelijke blokkeerpagina in plaats van een certificaatwaarschuwing te tonen.
Automatically deploy the DNS Protection signing certificate to devices distribueert het rootcertificaat. Test vooraf certificaatpolicies, browsers en beperkende Trust Stores.
Daarnaast moet blockpage.dnsprotection.sophos.com bereikbaar zijn zonder Web Filtering of TLS Decryption die de bestemming van de blokkeerpagina wijzigt. Als een Sophos Firewall de Web Proxy met Pharming Protection gebruikt, moet deze DNS Protection als resolver gebruiken of een aparte Allow-regel voor dit FQDN en een TLS-regel Do not decrypt krijgen.
Een domein kan ook zonder zichtbare blokkeerpagina geblokkeerd zijn. Controleer daarom DNS Protection Logs en policyhits.
Pilot en validatie
Test minimaal:
- toegestane en geblokkeerde publieke domeinen
- interne korte namen en FQDN’s
- VPN-, thuiswerk- en kantoorverbinding
- browsers met en zonder eigen Secure DNS
- blokkeerpagina en certificaatvertrouwen
- applicaties met ingebouwde DNS over HTTPS
- gedrag bij storing of proxyblokkade
Controleer in DNS Protection Logs ook bron-Location, policy en actie.
Logs en rapporten analyseren
DNS Protection Reports lopen ongeveer 15 tot 25 minuten achter op het actuele verkeer. Wijzigingen aan Location- of policynamen kunnen 30 minuten tot vier uur later in de rapporten verschijnen. Houd met deze vertraging rekening bij tests.
Voor Endpoint-verkeer zijn naast Location ook gebruiker en Device ID als kolommen beschikbaar. Zo kan worden gecontroleerd of een aanvraag werkelijk van de verwachte agent kwam en niet alleen vanaf hetzelfde openbare IP-adres. Belangrijke weergaven zijn DNS usage, DNS usage by source en High risk devices.
Opgeslagen templates bewaren filters en weergave, maar geen data of periode. Geplande exports hebben afhankelijk van het formaat verschillende rij- en kolomlimieten; geëxporteerde bestanden worden na 90 dagen verwijderd. Voor incidentdata wordt daarom een eigen bewaartermijn vastgelegd.
Typische problemen
Interne namen worden niet opgelost
Voeg de interne zone toe als domeinuitzondering en controleer lokale DNS-server, zoeksuffix en effectieve Endpoint DNS Policy.
Apparaat verschijnt niet in de Endpoint Policy
Controleer platform, licentie, agentcomponent en Agent Mode. De integratie ondersteunt momenteel alleen Windows Endpoints, geen Server of macOS.
Blokkeerpagina toont certificaatfout
Controleer distributie en vertrouwen van het DNS Protection Signing Certificate. Eigen browser Trust Stores kunnen extra beheer vereisen.
Browser omzeilt de policy
Browsers en applicaties kunnen eigen DNS over HTTPS gebruiken. Controleer de werkelijke resolver en Endpoint-events voordat de policy als defect wordt beschouwd.
Toegestaan domein blijft geblokkeerd
Controleer eerst Threat Reputation en een mogelijke CNAME. Is de doelnaam toegestaan, maar valt de CNAME in een geblokkeerde categorie, dan kan de verbinding nog steeds mislukken. Dien een kennelijk onjuiste categorie in voor herclassificatie en omzeil die niet met steeds bredere Allow-lists.
Nieuwe blokkering werkt niet onmiddellijk
Reeds gecachte DNS-antwoorden blijven bruikbaar totdat hun TTL verloopt. Documenteer daarom policy, rapport en testtijdstip samen; dezelfde regel herhaald opslaan versnelt het verlopen van de TTL niet.