Sophos DNS Protection

Sophos DNS Protection is een cloudgebaseerde DNS-service in Sophos Fusion. Deze combineert veilige DNS-resolutie met blokkering van bedreigingen, eigen beleid, domeinlijsten en rapporten. Kies vóór de configuratie het juiste implementatiepad: Xstream Protection dekt zelfstandige bescherming van netwerken en locaties; Workspace Protection dekt beheerde DNS-bescherming van Windows-endpoints via Sophos Endpoint. Beide licentiepaden ondersteunen DNS over HTTPS, maar zijn niet uitwisselbaar.

Directe keuze: Kies het netwerkpad voor een vestigingsnetwerk, firewall of onbeheerde apparaten. Kies het endpointpad voor beheerde Windows-apparaten die ook buiten het bedrijfsnetwerk beschermd moeten worden. Combineer beide paden niet ongepland op hetzelfde apparaat.

Het juiste implementatiepad kiezen

Netwerken en onbeheerde apparaten met Xstream Protection

Zelfstandige DNS Protection hoort bij het Xstream Protection-abonnement van Sophos Firewall en omvat Sophos Endpoint niet. Netwerkapparaten gebruiken een centrale resolver, een firewall of rechtstreeks de DNS-bestemmingen van de tenant. Locaties, beleid en rapporten worden in Sophos Fusion beheerd.

Vergelijk eerst Sophos Firewall-bundels voor de licentieafbakening. Gebruik daarna DNS Protection in het netwerk plannen en instellen om het DNS-pad te kiezen. Gebruikt u Sophos Firewall als resolver en forwarder, volg dan Sophos DNS Protection met Sophos Firewall instellen.

Windows-endpoints met Workspace Protection

DNS Protection for endpoints is een Workspace Protection-functie. Sophos Endpoint stuurt DNS-verkeer van ondersteunde Windows-apparaten beveiligd door naar DNS Protection. Dit pad heeft een licentie per apparaat; alleen een Xstream-abonnement geeft er geen recht op.

Workspace Protection bevat ook Protected Browser, ZTNA en Email Monitoring System. Daardoor is DNS Protection geen functie van die andere producten: ook integratie met Protected Browser blijft een afzonderlijk endpoint-DNS-pad. Sophos Fusion licentiëren verklaart licenties en verbruik; installatie, beleid en pilot staan in DNS Protection voor endpoints configureren.

Vereisten vóór de configuratie

1. Bevestig het licentiepad: Xstream voor zelfstandig netwerk-DNS of Workspace Protection voor Endpoint DNS. Leid rechten niet af uit de zichtbare productnaam.
2. Controleer toegang: Ga naar My Products > DNS Protection. Wat een beheerder kan zien en wijzigen, hangt af van de beheerdersrollen in Sophos Fusion. Pas minimale bevoegdheden toe.
3. Bepaal wat u beschermt: Leg vast of Networks, Endpoints of Unmanaged devices worden beschermd. Dit bepaalt DNS-pad, licentie en handleiding.
4. Bepaal testgroep en succescriterium: Kies een beperkte locatie of apparaatgroep en leg vast welke toegestane en geblokkeerde aanvraag in Dashboard en Reports moet verschijnen.
5. Controleer privacy: Bepaal vóór ingebruikname welke DNS-gegevens worden verwerkt en welke Sophos Fusion-regio voor de tenant is gekozen.

Een organisatie kan bijvoorbeeld vestigingsnetwerk Hoofdkantoor via het netwerkpad testen en een kleine groep Windows-Pilot afzonderlijk via het endpointpad. De namen zijn vrij; elke groep moet precies één gedocumenteerd pad volgen en aanvragen moeten aan het verwachte beleid zijn toe te wijzen.

Wat in Sophos Fusion samenhangt

Onder My Products > DNS Protection vormen meerdere onderdelen één operationele workflow:

• Locations koppelt DNS-aanvragen aan een netwerk- of Secure DNS-context.
• Policies bepaalt de gewenste filtering.
• Domain lists voegt gerichte toestaan- of blokkeerbeslissingen toe.
• Dashboard geeft een snel operationeel overzicht.
• Reports ondersteunt validatie en onderzoek.

De gekoppelde detailhandleidingen beschrijven de procedures. Dit overzicht oriënteert en herhaalt geen stappen voor locaties, beleid, certificaten of rapporten.

Validatie en verwacht resultaat

Na de pilot moet meer werken dan alleen naamresolutie:

• toegestane domeinen worden opgelost en bewust verboden domeinen geblokkeerd;
• testaanvragen verschijnen na de productgebonden vertraging in Dashboard of Reports;
• netwerkaanvragen worden aan de bedoelde locatie gekoppeld;
• bij Endpoint DNS Protection zijn waar beschikbaar ook apparaat- of gebruikersmetadata zichtbaar;
• het niet-gekozen pad treedt niet onbedoeld als tweede resolverpad op.

Vergroot beleid niet meteen als dit resultaat ontbreekt. Bepaal eerst of het probleem in het netwerk- of endpointpad zit. Gebruik voor netwerk, firewall of locatie de netwerkhandleidingen; voor agent, apparaattoewijzing of endpointbeleid de endpointhandleiding. Zo blijft diagnose beperkt tot het actieve gegevenspad en worden twee paden niet vermengd.

Privacy en regio’s plannen

DNS Protection verwerkt DNS-aanvraaggegevens zoals openbaar bron-IP, aangevraagd domein, tijdstip en DNS-antwoord. Gebruikersnaam en naam van het endpointapparaat worden uitsluitend met Endpoint DNS Protection verwerkt. De gegevens dienen voor beleidstoepassing, rapportage, dreigingsanalyse en probleemoplossing. Ze dienen ook voor productverbetering en innovatie, zoals detectie- en beveiligingstechnieken en prestatieoptimalisatie. Sophos Engineering, SophosLabs en Sophos AI kunnen ze tevens gebruiken voor productontwikkeling, analyse, dreigingsdetectie, onderzoek en voortdurende verbetering.

Volgens het Sophos Privacy Data Sheet worden bruikbare DNS Protection-klantgegevens 90 dagen in Sophos Fusion bewaard, diagnostische logs 30 dagen en configuratiegegevens totdat de service niet meer wordt gebruikt. Verwerking en opslag gebeuren in de regio die bij aanmaak van het Sophos Fusion-account is gekozen. DNS-aanvragen gaan echter naar een geschikt wereldwijd resolver point of presence en worden daar slechts tijdelijk verwerkt voordat gegevens naar de Fusion-regio gaan. De beheerregio en resolverlocatie zijn dus niet hetzelfde.

Naast US en EU noemt Sophos Australia, Brazil, India, Japan en Canada als beheerregio’s. Regionale beschikbaarheid en subverwerkers kunnen veranderen; controleer actuele informatie vóór invoering en bij periodieke evaluaties. Privacy en gegevensdeling in Sophos Fusion beschrijft de algemene governance.

Veilige terugkeer en grenzen van probleemoplossing

Dit overzicht bevat bewust geen universele uitschakelaar: veilig terugdraaien verschilt tussen netwerk-DNS, Sophos Firewall en endpointbeleid. Documenteer vóór een wijziging de eerdere resolver of het eerdere beleid, de testgroeptoewijzing en verwacht gedrag. Draai bij fouten alleen het getroffen pad terug volgens de gekoppelde handleiding en test interne en openbare naamresolutie opnieuw.

Kunt u het actieve pad niet eenduidig bepalen of ontbreekt een gedocumenteerde terugdraaiing voor de gebruikte variant, stop dan veilig. Verwijder locaties, beleid of agentcomponenten niet op goed geluk. Betrek eerst de netwerk- of endpointbeheerders en escaleer zo nodig met vastgelegde testgegevens naar Sophos Support.

Werking en productlevenscyclus

De releasegeschiedenis verklaart de scheiding: zelfstandige DNS Protection werd op 11 juni 2024 algemeen beschikbaar. Integratie van DNS Protection met Sophos Endpoint werd op 24 november 2025 als Early Access aangekondigd en leidde DNS-aanvragen via HTTPS om. Dit zijn historische mijlpalen, geen uitspraak over een huidige EAP-, EOL- of uitfaseringsstatus.

Controleer tijdens het gebruik regelmatig licenties, beheerdersrollen, locaties, beleid, domeinlijsten, rapporten, gegevensbewaring en het geteste terugkeerpad. Valideer wijzigingen eerst met een beperkte locatie of apparaatgroep. Actuele hulp- en versie-informatie gaat vóór historische aankondigingen.