Sophos DNS Protection

O Sophos DNS Protection é um serviço DNS baseado na cloud no Sophos Fusion. Combina resolução DNS segura, bloqueio de ameaças, políticas próprias, listas de domínios e relatórios. Antes de configurar, escolha o percurso de implementação correto: o Xstream Protection cobre a proteção autónoma de redes e localizações; o Workspace Protection, a proteção DNS gerida de endpoints Windows através do Sophos Endpoint. Ambas as licenças suportam DNS over HTTPS, mas não são intercambiáveis.

Decisão direta: Escolha o percurso de rede para uma rede de localização, firewall ou dispositivos não geridos. Escolha o percurso de endpoint para dispositivos Windows geridos que também devam ser protegidos fora da rede empresarial. Não combine ambos no mesmo dispositivo sem planeamento.

Escolher o percurso de implementação adequado

Redes e dispositivos não geridos com Xstream Protection

O DNS Protection autónomo pertence à subscrição Xstream Protection do Sophos Firewall e não inclui Sophos Endpoint. Os dispositivos de rede usam um resolver central, uma firewall ou diretamente os destinos DNS atribuídos ao tenant. Localizações, políticas e relatórios são geridos no Sophos Fusion.

Primeiro, compare os pacotes Sophos Firewall para delimitar a licença. Depois, Planear e configurar o DNS Protection na rede ajuda a escolher o percurso DNS. Se usar Sophos Firewall como resolver e encaminhador, siga Configurar Sophos DNS Protection com Sophos Firewall.

Endpoints Windows com Workspace Protection

DNS Protection for endpoints é uma funcionalidade do Workspace Protection. O Sophos Endpoint encaminha de forma protegida o tráfego DNS dos dispositivos Windows suportados para o DNS Protection. Este percurso é licenciado por dispositivo; apenas uma subscrição Xstream não lhe dá acesso.

O Workspace Protection inclui também Protected Browser, ZTNA e Email Monitoring System. Isso não torna o DNS Protection numa funcionalidade desses produtos: até a integração com Protected Browser continua a ser um percurso DNS de endpoint separado. Licenciar o Sophos Fusion explica licenças e consumo; Configurar DNS Protection para endpoints aborda instalação, política e piloto.

Pré-requisitos da configuração

1. Confirme a licença: Xstream para DNS de rede autónomo ou Workspace Protection para Endpoint DNS. Não deduza o direito pelo nome visível do produto.
2. Verifique o acesso: O caminho é My Products > DNS Protection. O que um administrador pode ver e alterar depende das funções administrativas no Sophos Fusion. Atribua privilégios mínimos.
3. Defina o objeto protegido: Documente se protege Networks, Endpoints ou Unmanaged devices. A escolha determina o percurso DNS, a licença e o guia.
4. Defina grupo de teste e critério de sucesso: Escolha uma localização ou grupo limitado e registe que pedido permitido e bloqueado deverá aparecer em Dashboard e Reports.
5. Verifique a privacidade: Antes da implementação, determine que dados DNS são processados e que região do Sophos Fusion foi escolhida para o tenant.

Por exemplo, uma empresa pode testar a rede da localização Sede pelo percurso de rede e, separadamente, um pequeno grupo Windows-Pilot pelo percurso de endpoint. Os nomes são livres; cada grupo deve seguir exatamente um percurso documentado e os pedidos devem poder ser associados à política esperada.

Como as áreas do Sophos Fusion funcionam em conjunto

Em My Products > DNS Protection, várias áreas formam um fluxo operacional comum:

• Locations associa pedidos DNS a um contexto de rede ou Secure DNS.
• Policies define a filtragem pretendida.
• Domain lists acrescenta decisões específicas de permissão ou bloqueio.
• Dashboard apresenta uma visão operacional rápida.
• Reports serve para validação e investigação.

Os guias associados descrevem cada procedimento. Esta visão geral orienta e não repete os passos para configurar localizações, políticas e certificados nem para trabalhar com relatórios.

Validação e resultado esperado

Depois do piloto, não basta funcionar a resolução de nomes:

• os domínios permitidos são resolvidos e os intencionalmente proibidos são bloqueados;
• os pedidos de teste aparecem em Dashboard ou Reports após o atraso próprio do produto;
• as consultas de rede são associadas à localização prevista;
• com Endpoint DNS Protection, os metadados do dispositivo ou utilizador também são visíveis, quando disponíveis;
• o percurso não escolhido não intervém acidentalmente como segundo resolver.

Se faltar este resultado, não alargue logo as políticas. Determine primeiro se o problema está no percurso de rede ou endpoint. Para rede, firewall ou localização, use os guias de rede; para agente, atribuição de dispositivos ou política de endpoint, use o guia de endpoints. A resolução de problemas fica assim limitada ao percurso de dados ativo e não mistura dois percursos de dados diferentes.

Planear privacidade e regiões

O DNS Protection processa dados de pedidos DNS, como IP público de origem, domínio pedido, hora e resposta DNS. O nome do utilizador e do dispositivo endpoint são processados exclusivamente com Endpoint DNS Protection. Os dados servem para aplicar políticas, criar relatórios, analisar ameaças e resolver problemas. Servem ainda para melhoria e inovação do produto, incluindo técnicas de deteção e segurança e otimização do desempenho. Sophos Engineering, SophosLabs e Sophos AI podem também usá-los para desenvolvimento, análise, deteção de ameaças, investigação e melhoria contínua.

Segundo o Sophos Privacy Data Sheet, os dados DNS Protection utilizáveis pelo cliente são mantidos 90 dias no Sophos Fusion, os registos de diagnóstico 30 dias e os dados de configuração até deixar de se utilizar o serviço. O processamento e armazenamento ocorrem na região escolhida ao criar a conta Sophos Fusion. Contudo, os pedidos DNS são encaminhados para um ponto de presença global adequado do resolver e aí processados apenas temporariamente antes de os dados seguirem para a região Fusion. A região de gestão e a localização do resolver não são, portanto, a mesma coisa.

Além de US e EU, a Sophos indica Australia, Brazil, India, Japan e Canada como regiões de gestão. A disponibilidade regional e os subprocessadores podem mudar; confirme a informação atual antes da implementação e em revisões regulares. Privacidade e partilha de dados no Sophos Fusion descreve o processo geral de governação.

Retorno seguro e limites da resolução de problemas

Esta visão geral não inclui deliberadamente um interruptor universal: o retorno seguro difere entre DNS de rede, Sophos Firewall e política de endpoint. Antes de uma alteração, documente o resolver ou a política anterior, a atribuição do grupo de teste e o comportamento esperado. Em caso de erro, reverta apenas o percurso afetado segundo o guia associado e volte a testar a resolução interna e pública.

Se não conseguir identificar inequivocamente o percurso ativo ou não houver uma reversão documentada para a variante usada, pare em segurança. Não elimine localizações, políticas nem componentes do agente com base em suposições. Envolva primeiro os administradores responsáveis pela rede ou endpoints e, se necessário, encaminhe para o Sophos Support os dados de teste registados.

Operação e ciclo de vida do produto

O histórico de lançamentos explica a separação: o DNS Protection autónomo atingiu General Availability em 11 de junho de 2024. A integração do DNS Protection com Sophos Endpoint foi anunciada como Early Access em 24 de novembro de 2025 e redirecionava pedidos DNS por HTTPS. Estas datas são marcos históricos, não uma declaração de estado EAP, EOL ou retirada atual.

Durante a operação, reveja regularmente licença, funções administrativas, localizações, políticas, listas de domínios, relatórios, retenção de dados e percurso de retorno testado. Valide primeiro as alterações numa localização ou grupo limitado. A ajuda e as versões atuais prevalecem sobre anúncios históricos.