Compreender e validar o painel do Sophos DNS Protection

O painel do Sophos DNS Protection combina a verificação da configuração com um resumo operacional. Abra-o no Sophos Fusion (anteriormente Sophos Central) em My Products > DNS Protection > Dashboard. Apresenta o Setup Assistant, Usage summary, o histórico DNS Protection traffic e Top domains (last seven days). Para conhecer o serviço, o licenciamento e a configuração básica, consulte Sophos DNS Protection, incluído no Xstream Protection.

Os dados têm um atraso aproximado de 15 a 25 minutos, pelo que uma consulta de teste recente pode não aparecer de imediato. Utilize o painel para tendências e progresso da configuração; utilize View all e Logs & Reports para investigar consultas individuais.

Utilizar corretamente o Setup Assistant

Set up DNS Protection orienta a configuração inicial, mas não é um teste funcional completo:

1. Add locations abre My Products > DNS Protection > Locations. Já existe uma Default location; depois, o assistente mostra o número de localizações configuradas.
2. Set up your network abre Installers. Copie os DNS Protection IP addresses e, se necessário, descarregue o Root Certificate. Em seguida, configure a rede, o resolvedor ou os dispositivos.
3. Ao regressar, Queries mostra quantas localizações enviaram consultas. O valor abrange as localizações ativas dos últimos três meses e pode incluir entradas eliminadas recentemente.
4. Em Add policy, Create policy abre My Products > DNS Protection > Policies; ao regressar, o assistente mostra o número de políticas.
5. Review logs abre My Products > DNS Protection > Logs & Reports, onde se verificam localização, origem e política.
6. Deploy to devices abre My Products > DNS Protection > Policies > Endpoint policies. Este passo destina-se ao Sophos Endpoint; uma implementação apenas de rede não necessita de uma Endpoint policy.
7. Quando o Sophos deteta a conclusão, apresenta Congratulations! Set up appears to be complete.

Hide oculta o assistente e Set up DNS Protection volta a apresentá-lo. Isto não altera a configuração.

Recomendação da Avanet: não trate a mensagem de sucesso como aceitação. Após o atraso de processamento, confirme em Logs & Reports uma consulta permitida e outra bloqueada de forma controlada em cada localização relevante.

Interpretar Usage summary

Selecionar um contador de Usage summary abre o relatório das últimas 24 horas:

• Total DNS queries: todas as consultas resolvidas de todas as localizações, permitidas e bloqueadas. Um valor elevado não constitui, por si só, um incidente.
• Security threats blocked: consultas bloqueadas por motivos de segurança. Investigue rapidamente a origem e a repetição.
• Policy violations blocked: consultas bloqueadas pelas suas políticas, excluindo Security blocks. Um aumento pode ser intencional ou indicar uma atribuição incorreta.
• Active computers: computadores ativos nas últimas 24 horas; apenas com Sophos Endpoint.
• Active locations: localizações das quais foi recebida pelo menos uma consulta. Não comprova disponibilidade contínua.

Os contadores não devem ser diretamente confrontados por um cálculo entre si. Um sinal relevante é um volume inesperado combinado com a ausência de localizações previstas; confirme-o nos relatórios detalhados filtrados por localização. Bloqueios sem tráfego de teste esperado exigem a verificação da origem, do domínio e da política.

Ler DNS Protection traffic

O gráfico DNS Protection traffic apresenta DNS query volume, ou seja, o número de consultas durante 3 hours, 24 hours ou 30 days. Permite comparar com Last week ou Last month (4 weeks ago). As vistas 24 hours e 30 days também mostram a média diária do mês anterior.

• Uma queda pode resultar de pouca atividade, falha de um local, alteração no encaminhamento DNS ou atribuição incorreta.
• Um pico pode resultar de atualizações, serviços cloud, um novo local ou clientes com problemas.
• Um total estável não exclui a perda de uma localização.

O gráfico não é um monitor de disponibilidade. Utilize View all para filtrar os relatórios por período e localização.

Avaliar Top domains (last seven days) e computadores protegidos

Top domain queries abrange sete dias e separa Permitted domains, Security blocks e Policy blocks. Um domínio frequente não é necessariamente suspeito: sistemas operativos, CDN, produtos de segurança e aplicações SaaS geram muitas consultas. Avalie a categoria, a finalidade empresarial, a origem e o momento. Rastreie Security blocks repetidos até ao dispositivo de origem; muitos Policy blocks podem indicar uma regra eficaz ou um ciclo desnecessário de novas tentativas.

Com Sophos Endpoint, DNS usage from protected computers mostra os sete principais computadores com Username, Device name or ID e consultas permitidas ou bloqueadas. View all utiliza DNS usage by source para Permitted domains e Policy blocks, e High risk devices para Security blocks. É uma lista de prioridades, não um inventário completo.

Validar a configuração em segurança

Num teste de bloqueio, nunca utilize um domínio realmente malicioso nem uma política de produção atribuída de forma ampla:

1. Registe a atribuição atual da política da localização de teste.
2. Utilize uma localização de teste dedicada ou um grupo-piloto muito restrito. Atribua uma política temporária com exatamente um domínio inofensivo numa block domain list. Não bloqueie uma categoria inteira para utilizadores de produção.
3. A partir do mesmo âmbito, consulte um domínio permitido conhecido e o domínio de teste inofensivo.
4. Aguarde pelo menos 25 minutos. Em Logs & Reports, verifique localização, origem, política e decisão para ambas as consultas.
5. Confirme a reação coerente de Total DNS queries, do contador de bloqueio e de Active locations. Com Sophos Endpoint, verifique também o relatório de computadores.
6. Remova a entrada de teste e restaure a atribuição registada. Repita a consulta permitida e confirme-a em Logs & Reports.

Só a combinação de uma consulta permitida e outra bloqueada valida o transporte e a aplicação da política. O carregamento correto de uma página não prova que a consulta passou pelo DNS Protection.

Compreender atrasos e diferenças aparentes

As janelas são diferentes: 24 horas para as ligações dos contadores, sete dias para Top domain queries e o relatório de computadores, e até três meses para o assistente. Os valores não têm de coincidir. Uma localização eliminada pode continuar visível; Active computers não aparece sem Sophos Endpoint; um domínio pode permanecer na classificação sem atividade hoje. Policy violations blocked e Security threats blocked são tipos distintos.

Nas comparações diárias, também é necessário considerar o fuso horário: segundo a lista Sophos Known Issues, NSWAAS-3281, o histórico de 30 dias do painel apresenta valores diários em UTC, enquanto Logs & Reports utiliza a hora local do utilizador. Para uma comparação fiável, selecionar no relatório o mesmo intervalo absoluto que corresponde ao dia UTC. Limites diários diferentes não comprovam a perda de pedidos DNS.

Para o período exato de um incidente, utilize Logs & Reports; o painel serve para orientação.

Resolver problemas por sintoma

O assistente não termina

Abra cada passo através do assistente e regresse a Dashboard. Confirme que uma localização envia tráfego, existe uma política e Logs & Reports contém consultas. Numa implementação apenas de rede, Deploy to devices pode ficar intencionalmente por utilizar; a validação funcional é mais importante do que completar a lista.

Não aparecem consultas ou aparecem poucas

Aguarde 25 minutos após o teste. Verifique os resolvedores, caminhos que contornem o DNS Protection, o IP de origem público ou a atribuição Secure DNS e o filtro de localização em Logs & Reports. Se o relatório detalhado também estiver vazio, verificar primeiro o contexto de permissões: NSWAAS-4051 descreve que uma função personalizada necessita, além do DNS Protection, das permissões de Firewall adequadas para os dados dos relatórios. Com acesso à Firewall None, os dados de tráfego não aparecem; Read only permite visualizar o painel, mas não guardar templates nem agendar relatórios. O guia de relatórios explica este limite. O responsável pelas funções verifica apenas os direitos necessários para a tarefa; uma conta Super Admin não é uma solução alternativa geral. Se as permissões e os filtros estiverem corretos, delimitar as causas no encaminhamento DNS, na implementação do dispositivo, na conectividade e na atribuição da localização.

Os contadores ou domínios principais parecem incorretos

Compare o mesmo período e verifique domínio, motivo, origem e política aplicada no relatório detalhado. Uma classificação de sete dias reage mais lentamente do que um relatório de 24 horas.

Active locations é superior ao esperado

Verificar primeiro a que contador se refere: Active locations em Usage summary mostra as localizações das quais foram recebidas consultas. Para isso, comparar a atribuição atual das localizações e os relatórios detalhados filtrados por tempo. Por outro lado, Queries no Setup Assistant conta as localizações com atividade nos últimos três meses e pode ainda incluir entradas eliminadas recentemente. Utilizar Locations para o inventário atual; um contador mais elevado no assistente não comprova a existência de uma localização adicional atualmente ativa.

Falta Active computers ou o relatório de computadores

Estas áreas exigem Sophos Endpoint. A ausência é normal numa implementação limitada à rede, firewall ou resolvedor.

Adicionar widgets DNS ao dashboard Fusion

O painel específico do produto continua a ser o ponto de entrada descrito acima. O anúncio da Sophos de 21 de outubro de 2026 acrescenta três vistas para dashboards Fusion personalizados: DNS Protection overview, top domains e top endpoint devices. Assim, é possível analisar a atividade DNS ao lado de dados de outros produtos.

Em Dashboards > Manage dashboards, criar ou editar um dashboard próprio, filtrar por DNS Protection na Widgets library e adicionar as vistas disponibilizadas para a tarefa. O guia geral de dashboards explica a seleção e organização. Os widgets disponíveis dependem da licença do produto e da função; uma vista Endpoint não cria identidades de dispositivos a partir de dados DNS exclusivamente baseados na rede. Comparar o período e a origem dos dados com o relatório do produto antes de concluir que um widget vazio indica uma falha. Segundo a Sophos, os dashboards próprios só são visíveis para o respetivo administrador; esta adição não cria um dashboard de equipa automaticamente partilhado.

Tomar decisões operacionais

Diariamente, verifique Security threats blocked inesperados, quedas acentuadas de volume e localizações esperadas em falta. Semanalmente, compare Last week, avalie domínios recorrentes e confirme que os Policy blocks ainda refletem as regras pretendidas. Antes de permitir ou bloquear um domínio, reveja o relatório, as origens, a finalidade empresarial e o âmbito da política; teste alterações num âmbito restrito e volte a validá-las.