Konfiguracja Sophos DNS Protection dla Endpoints

Endpoint DNS Protection Policy łączy Sophos DNS Protection bezpośrednio z Sophos Endpoint. Agent przechwytuje zapytania DNS i przesyła je szyfrowane przez HTTPS do usługi Sophos. Działa to również poza siecią firmową bez ręcznej zmiany lokalnych serwerów DNS.

Funkcja nie jest tym samym co Web Control. DNS Protection decyduje na poziomie domeny, a Web Control zapewnia dodatkowe kategorie i kontrolę WWW Endpoint.

Wymagania

Dla bieżącej integracji Endpoint obowiązują:

• odpowiednia licencja Workspace Protection,
• Sophos Endpoint Agent na urządzeniach,
• obsługiwany system Windows Endpoint,
• brak Windows Server i macOS w grupie docelowej,
• zgodny pakiet Endpoint,
• połączenie HTTPS do Sophos DNS Protection.

Sophos obecnie wyraźnie wymaga pakietu FTS 2025.2.3.31.2 Required for DNS Protection Update. W tym celu w Endpoint Update Management Base Policy wybiera się ten pakiet dla Windows. Sophos określa to wymaganie jako tymczasowe, dlatego przed każdym nowym rolloutem trzeba sprawdzić, czy nadal obowiązuje.

Działanie integracji Endpoint

1. Agent przechwytuje zapytania DNS.
2. Zapytania bez wyjątku są szyfrowane do DNS Protection.
3. Odpowiedzi wracają bezpośrednio do aplikacji.
4. Wyłączone domeny wewnętrzne korzystają z lokalnie lub w aplikacji skonfigurowanego DNS.
5. Opcjonalnie nazwę publicznie nierozwiązywalną można po NXDOMAIN ponownie wysłać lokalną drogą DNS.

Dla stref wewnętrznych Sophos zaleca jawne wyjątki domen. Są szybsze i bardziej przewidywalne niż ogólna ponowna próba po NXDOMAIN.

Instalacja komponentu agenta

W My Products > Endpoint > Computers wybiera się właściwe Windows Endpoints. W Manage Endpoint Software, zależnie od licencji, widoczny jest DNS lub DNS & ZTNA.

Po Install i Save należy sprawdzić:

• Agent mode pozostał zgodny z planem,
• komponent DNS ma stan Installed,
• urządzenie ma aktualne oprogramowanie,
• brak alertów instalacji i restartu.

Przypisanie może ruszyć niezależnie od normalnego okna aktualizacji.

Ustawienie lokalizacji Secure DNS

DNS Protection używa Locations do przypisania reguł filtrowania. Dla Endpoints stosuje się Location z Secure DNS. Można użyć niezmiennej Default location lub utworzyć własną.

Oddzielne Locations mają sens, gdy urządzenia mobilne, kraje lub jednostki wymagają innych filtrów. Location nie zastępuje prawidłowego celu Policy.

Przypisywanie Filtering Policy do Location

Endpoint Policy określa, które urządzenia korzystają z DNS Protection i pod jaką Secure DNS Location są widoczne. Faktyczne filtrowanie kategorii i domen ustawia się w oddzielnej Filtering policy przypisanej do tej Location.

Dla każdej Location może obowiązywać tylko jedna Filtering Policy. Sophos pozwala na maksymalnie 50 takich polityk w całym tenancie. Wbudowanego profilu filtrowania nie można bezpośrednio zmienić; własne decyzje dotyczące kategorii ustawia się przez Let me specify.

Domain Lists zastępują zwykłą decyzję kategorii: Allow List może zezwolić na domenę z zablokowanej kategorii, a Block List zablokować ją mimo dozwolonej kategorii. Sophos nadal blokuje jednak domeny o złym Threat Score albo niebezpiecznej reputacji. Allow List nie jest więc ogólnym obejściem ochrony przed malware.

Wewnętrzne domeny firmowe mogą dodatkowo znajdować się na dozwolonej Domain List, aby na przykład usługi ZTNA lub wewnętrzne nie były blokowane z powodu kategorii takiej jak Parked Domains. Nie zastępuje to wyjątku domeny Endpoint dla nazw rozwiązywanych wyłącznie przez wewnętrzny serwer DNS.

Tworzenie Endpoint Policy

Ścieżka: My Products > DNS Protection > Policies > Endpoint policies.

1. Wybrać Add policy.
2. Dodać komputery lub grupy.
3. Aktywować Policy.
4. W Settings włączyć Use Sophos DNS Protection.
5. Wybrać Secure-DNS-Location.
6. Dodać wyjątki domen wewnętrznych.
7. Ustawić strony blokady i dystrybucję certyfikatu.
8. Zapisać i przetestować na pilocie.

Kolejność Endpoint DNS Policies decyduje, która Policy trafia do urządzenia.

Wewnętrzne strefy DNS

Nazwy takie jak corp.example, strefy Active Directory i Split DNS nie mogą być przypadkowo rozwiązywane tylko publicznie.

Najbezpieczniejszy jest konkretny wyjątek domeny, który obejmuje też subdomeny i kieruje je do systemowego DNS.

Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN jest drogą awaryjną, ale mniej wydajną niż utrzymywana lista stref.

Strony blokady i certyfikat

Dla domen HTTPS przeglądarka wymaga zaufanego certyfikatu DNS Protection, aby pokazać stronę blokady zamiast ostrzeżenia.

Automatically deploy the DNS Protection signing certificate to devices rozsyła Root Certificate. Trzeba wcześniej przetestować polityki certyfikatów, przeglądarki i restrykcyjne Trust Stores.

Dodatkowo blockpage.dnsprotection.sophos.com musi być osiągalna bez Web Filtering lub TLS Decryption, które zmieniają cel strony blokady. Jeśli Sophos Firewall używa Web Proxy z Pharming Protection, powinna korzystać z DNS Protection jako resolvera albo otrzymać osobną regułę Allow dla tego FQDN i regułę TLS Do not decrypt.

Domena może być zablokowana nawet bez strony. Diagnostyka obejmuje Logs DNS Protection i trafienie Policy.

Pilot i walidacja

Pilot sprawdza:

• dozwolone i blokowane domeny publiczne,
• wewnętrzne nazwy krótkie i FQDN,
• VPN, Home Office i biuro,
• przeglądarki z własnym Secure DNS i bez niego,
• stronę blokady i zaufanie certyfikatu,
• aplikacje z własnym DNS over HTTPS,
• awarię lub blokadę Proxy.

W DNS Protection Logs należy też sprawdzić Source Location, Policy i Action.

Analiza Logs i Reports

DNS Protection Reports pozostają około 15 do 25 minut za bieżącym ruchem. Zmiany nazw Location lub Policy mogą pojawić się w raportach od 30 minut do czterech godzin później. Opóźnienie to należy uwzględniać w testach.

Dla ruchu Endpoint oprócz Location dostępne są też kolumny użytkownika i Device ID. Pozwala to sprawdzić, czy zapytanie rzeczywiście pochodziło od oczekiwanego agenta, a nie tylko z tego samego publicznego adresu IP. Ważne widoki to DNS usage, DNS usage by source oraz High risk devices.

Zapisane Templates zachowują filtry i sposób prezentacji, ale nie dane ani zakres czasu. Zaplanowane eksporty mają zależnie od formatu różne limity wierszy i kolumn; wyeksportowane pliki są usuwane po 90 dniach. Dla danych incydentowych należy więc zdefiniować własną retencję.

Typowe problemy

Nazwy wewnętrzne się nie rozwiązują

Dodać strefę jako wyjątek, a następnie sprawdzić lokalny DNS, Search Suffix i skuteczną Endpoint DNS Policy.

Urządzenia nie ma w Endpoint Policy

Sprawdzić platformę, licencję, komponent i Agent Mode. Integracja obecnie obsługuje tylko Windows Endpoints, nie serwery ani macOS.

Strona blokady zgłasza błąd certyfikatu

Sprawdzić dystrybucję i zaufanie DNS Protection Signing Certificate. Własne Trust Stores mogą wymagać dodatkowego zarządzania.

Przeglądarka omija Policy

Przeglądarki i aplikacje mogą używać własnego DNS over HTTPS. Trzeba sprawdzić faktyczny Resolver i Endpoint Events.

Dozwolona domena pozostaje zablokowana

Najpierw należy sprawdzić Threat Reputation i ewentualny CNAME. Jeśli nazwa docelowa jest dozwolona, ale jej CNAME należy do zablokowanej kategorii, połączenie może nadal się nie udać. Oczywiście błędną kategorię należy zgłosić do ponownej kategoryzacji, a nie obchodzić coraz szerszymi Allow Lists.

Nowa blokada nie działa natychmiast

Zbuforowane odpowiedzi DNS pozostają użyteczne do wygaśnięcia ich TTL. Policy, Report i czas testu należy więc dokumentować razem; wielokrotne zapisywanie tej samej reguły nie przyspiesza wygaśnięcia TTL.

Często zadawane pytania