Sophos DNS Protection

Sophos DNS Protection to chmurowa usługa DNS w Sophos Fusion. Łączy bezpieczne rozwiązywanie nazw DNS z blokowaniem zagrożeń, własnymi politykami, listami domen i raportami. Przed konfiguracją wybierz właściwą ścieżkę wdrożenia: Xstream Protection obejmuje niezależną ochronę sieci i lokalizacji, a Workspace Protection — zarządzaną ochronę DNS endpointów Windows przez Sophos Endpoint. Obie licencje obsługują DNS over HTTPS, ale nie są zamienne.

Bezpośrednia decyzja: Wybierz ścieżkę sieci dla sieci oddziału, zapory lub urządzeń niezarządzanych. Wybierz ścieżkę endpointu dla zarządzanych urządzeń Windows, które mają być chronione także poza siecią firmową. Nie łącz obu ścieżek na jednym urządzeniu bez planu.

Wybór właściwej ścieżki wdrożenia

Sieci i urządzenia niezarządzane z Xstream Protection

Niezależna usługa DNS Protection należy do subskrypcji Xstream Protection dla Sophos Firewall i nie obejmuje Sophos Endpoint. Urządzenia sieciowe korzystają z centralnego resolvera, zapory lub bezpośrednio z miejsc docelowych DNS przypisanych tenantowi. Lokalizacjami, politykami i raportami zarządza się w Sophos Fusion.

Najpierw porównaj pakiety Sophos Firewall, aby ustalić zakres licencji. Następnie Zaplanuj i skonfiguruj DNS Protection w sieci, wybierając ścieżkę DNS. Jeśli Sophos Firewall pełni rolę resolvera i forwardera, zastosuj instrukcję Konfiguracja Sophos DNS Protection z Sophos Firewall.

Endpointy Windows z Workspace Protection

DNS Protection for endpoints jest funkcją Workspace Protection. Sophos Endpoint bezpiecznie przekazuje ruch DNS obsługiwanych urządzeń Windows do DNS Protection. Ta ścieżka jest licencjonowana na urządzenie; sama subskrypcja Xstream nie daje do niej prawa.

Workspace Protection obejmuje też Protected Browser, ZTNA i Email Monitoring System. Nie oznacza to, że DNS Protection jest funkcją tych produktów: nawet integracja z Protected Browser pozostaje odrębną ścieżką DNS endpointu. Licencjonowanie Sophos Fusion wyjaśnia licencje i zużycie, a Konfiguracja DNS Protection dla endpointów — instalację, politykę i pilotaż.

Wymagania przed konfiguracją

1. Potwierdź licencję: Xstream dla niezależnego DNS sieciowego albo Workspace Protection dla Endpoint DNS. Nie wnioskuj o uprawnieniach z wyświetlanej nazwy produktu.
2. Sprawdź dostęp: Ścieżka to My Products > DNS Protection. Zakres widoku i zmian zależy od ról administracyjnych w Sophos Fusion. Stosuj minimalne uprawnienia.
3. Określ chroniony obiekt: Zapisz, czy chronione są Networks, Endpoints, czy Unmanaged devices. Wybór określa ścieżkę DNS, licencję i instrukcję.
4. Określ grupę testową i kryterium sukcesu: Wybierz ograniczoną lokalizację lub grupę urządzeń i zapisz, które dozwolone i blokowane żądanie ma się pojawić w Dashboard i Reports.
5. Sprawdź prywatność: Przed wdrożeniem ustal, jakie dane DNS są przetwarzane i który region Sophos Fusion wybrano dla tenanta.

Przykładowo firma może przetestować sieć Centrala ścieżką sieciową, a małą grupę Windows-Pilot osobno ścieżką endpointu. Nazwy są dowolne; każda grupa musi używać dokładnie jednej udokumentowanej ścieżki, a żądania muszą dać się przypisać oczekiwanej polityce.

Współdziałanie obszarów Sophos Fusion

W My Products > DNS Protection kilka obszarów tworzy wspólny proces operacyjny:

• Locations przypisuje żądania DNS do kontekstu sieci lub Secure DNS.
• Policies określa filtrowanie.
• Domain lists dodaje precyzyjne decyzje zezwalania lub blokowania.
• Dashboard daje szybki przegląd działania.
• Reports służy do walidacji i analizy.

Połączone instrukcje opisują poszczególne procedury. Ten przegląd pomaga wybrać kierunek i nie powtarza konfiguracji lokalizacji, polityk, certyfikatów ani pracy z raportami.

Walidacja i oczekiwany wynik

Po pilotażu samo rozwiązywanie nazw nie wystarcza:

• dozwolone domeny są rozwiązywane, a celowo zabronione — blokowane;
• żądania testowe pojawiają się po opóźnieniu produktu w Dashboard lub Reports;
• zapytania sieciowe są przypisane do właściwej lokalizacji;
• w Endpoint DNS Protection widoczne są też metadane urządzenia lub użytkownika, o ile są dostępne;
• niewybrana ścieżka nie działa przypadkowo jako drugi resolver.

Jeśli wynik jest inny, nie rozszerzaj od razu polityk. Najpierw ustal, czy problem dotyczy ścieżki sieci, czy endpointu. Dla sieci, zapory lub lokalizacji użyj instrukcji sieciowych; dla agenta, przypisania urządzeń lub polityki endpointu — instrukcji endpointów. Diagnostyka pozostanie ograniczona do aktywnej ścieżki danych i nie będzie łączyć dwóch różnych ścieżek danych.

Planowanie prywatności i regionów

DNS Protection przetwarza dane żądań DNS, takie jak publiczny źródłowy adres IP, żądana domena, czas i odpowiedź DNS. Nazwa użytkownika i urządzenia endpointu są przetwarzane wyłącznie z Endpoint DNS Protection. Dane służą do stosowania polityk, raportowania, analizy zagrożeń i diagnostyki. Służą też ulepszaniu i innowacjom produktu, w tym technikom wykrywania i bezpieczeństwa oraz optymalizacji wydajności. Sophos Engineering, SophosLabs i Sophos AI mogą ich używać do rozwoju produktu, analiz, wykrywania zagrożeń, badań i ciągłego doskonalenia.

Według Sophos Privacy Data Sheet dane DNS Protection dostępne dla klienta są przechowywane w Sophos Fusion przez 90 dni, dzienniki diagnostyczne przez 30 dni, a dane konfiguracyjne do zakończenia korzystania z usługi. Przetwarzanie i zapis odbywają się w regionie wybranym podczas tworzenia konta Sophos Fusion. Żądania DNS są jednak kierowane do odpowiedniego globalnego punktu obecności resolvera i przetwarzane tam tylko tymczasowo przed wysłaniem danych do regionu Fusion. Region zarządzania i lokalizacja resolvera nie są zatem tym samym.

Oprócz US i EU Sophos wymienia regiony Australia, Brazil, India, Japan i Canada. Dostępność i podmioty podprzetwarzające mogą się zmieniać; sprawdzaj aktualne informacje przed wdrożeniem i podczas okresowych przeglądów. Prywatność i udostępnianie danych w Sophos Fusion opisuje szerszy proces nadzoru.

Bezpieczne wycofanie i granice diagnostyki

Ten przegląd celowo nie podaje uniwersalnego wyłącznika: bezpieczne wycofanie różni się dla DNS sieciowego, Sophos Firewall i polityki endpointu. Przed zmianą udokumentuj poprzedni resolver lub politykę, przypisanie grupy testowej i oczekiwane działanie. W razie błędu wycofaj tylko dotkniętą ścieżkę według połączonej instrukcji, a następnie ponownie sprawdź wewnętrzne i publiczne rozwiązywanie nazw.

Jeśli nie można jednoznacznie ustalić aktywnej ścieżki lub brak udokumentowanego wycofania dla używanego wariantu, zatrzymaj się. Nie usuwaj lokalizacji, polityk ani składników agenta na podstawie przypuszczeń. Najpierw zaangażuj administratorów sieci lub endpointów, a w razie potrzeby przekaż Sophos Support zapisane dane testowe.

Eksploatacja i cykl życia produktu

Historia wydań wyjaśnia rozdzielenie ścieżek: niezależny DNS Protection osiągnął General Availability 11 czerwca 2024 r. Integrację DNS Protection z Sophos Endpoint ogłoszono jako Early Access 24 listopada 2025 r.; przekierowywała żądania DNS przez HTTPS. Są to historyczne kamienie milowe, a nie informacja o bieżącym statusie EAP, EOL lub wycofania.

Podczas eksploatacji regularnie sprawdzaj licencję, role administracyjne, lokalizacje, polityki, listy domen, raporty, retencję danych i przetestowaną ścieżkę wycofania. Najpierw waliduj zmiany na ograniczonej lokalizacji lub grupie urządzeń. Aktualna pomoc i informacje o wersjach mają pierwszeństwo przed historycznymi ogłoszeniami.