Konfigurera Sophos DNS Protection för Endpoints
Endpoint DNS Protection Policy ansluter Sophos DNS Protection direkt till Sophos Endpoint. Agenten fångar DNS-frågor och skickar dem krypterat via HTTPS till Sophos. Det fungerar även utanför företagsnätet utan manuell ändring av lokala DNS-servrar.
Funktionen är inte identisk med Web Control. DNS Protection fattar beslut på Domain-nivå, medan Web Control omfattar ytterligare webbkategorier och Endpoint-webbkontroll.
Förutsättningar
För den aktuella Endpoint-integrationen gäller:
- lämplig Workspace Protection-licens,
- Sophos Endpoint Agent på målenheterna,
- ett Windows Endpoint-operativsystem som stöds,
- inga Windows Server- eller macOS-mål,
- kompatibelt Endpoint-programvarupaket,
- HTTPS-anslutning till Sophos DNS Protection.
Sophos kräver för närvarande uttryckligen paketet FTS 2025.2.3.31.2 Required for DNS Protection Update. I Endpoint Update Management Base Policy för Windows väljs därför detta paket. Sophos beskriver kravet som tillfälligt; kontrollera före varje ny utrullning om det fortfarande gäller.
Så fungerar Endpoint-integrationen
- Endpoint-agenten fångar DNS-frågor.
- Frågor utan undantag skickas krypterat till DNS Protection.
- Svaren returneras direkt till programmet.
- Undantagna interna Domains går till lokalt eller programspecifikt DNS.
- Ett offentligt olösbart namn kan valfritt prövas via systemets DNS efter
NXDOMAIN.
Sophos rekommenderar explicita Domain-undantag för interna zoner. Det är snabbare och mer förutsägbart än generell Retry efter NXDOMAIN.
Installera agentkomponenten
Välj lämpliga Windows Endpoints under My Environment > Computers & Servers. I Manage Software visas DNS eller DNS & ZTNA beroende på licens.
Efter Install och Save kontrolleras:
- Agent Mode förblir enligt plan,
- DNS-komponenten når status
Installed, - enheten har aktuell Endpoint-programvara,
- inga installations- eller omstartsalerts är öppna.
Programvarutilldelningen kan starta oberoende av normalt Update Window.
Ange Secure DNS Location
DNS Protection använder Locations för tilldelning till filterregler. För Endpoints används en Location med Secure DNS. Den oföränderliga Default location eller en egen Location kan användas.
Separata Locations är lämpliga om mobila enheter, länder eller organisationer kräver olika filterregler. En Location ersätter inte en ren Policy-målgrupp.
Tilldela Filtering Policy till Location
Endpoint Policy avgör vilka enheter som använder DNS Protection och under vilken Secure DNS Location de visas. Själva kategori- och Domain Filtering anges i en separat Filtering policy för denna Location.
Endast en Filtering Policy kan gälla per Location. Sophos tillåter upp till 50 sådana Policies per tenant. En inbyggd Filter Profile kan inte ändras direkt; för egna kategoribeslut används Let me specify.
Domain Lists åsidosätter det vanliga kategoribeslutet: En Allow List kan tillåta en Domain i en blockerad kategori, och en Block List kan blockera den trots tillåten kategori. Sophos fortsätter dock att blockera Domains med dålig Threat Score eller farlig Reputation. En Allow List är därför ingen generell Malware Bypass.
Interna företagsdomains kan dessutom läggas i en tillåten Domain List så att exempelvis ZTNA eller interna tjänster inte blockeras av en kategori som Parked Domains. Detta ersätter inte Endpoint Domain Exception för namn som endast den interna DNS-servern kan lösa.
Skapa Endpoint Policy
Den aktuella vägen är My Products > DNS Protection > Policies > Endpoint policies.
- Välj Add policy.
- Lägg till datorer eller grupper.
- Aktivera Policy.
- Aktivera Use Sophos DNS Protection under Settings.
- Välj rätt Secure DNS Location.
- Lägg till interna Domain-undantag.
- Ange blocksidor och certifikatdistribution.
- Spara och testa i en pilotgrupp.
Ordningen på Endpoint DNS Policies avgör vilken Policy enheten får.
Interna DNS-zoner
Interna namn som corp.example, Active Directory-zoner eller Split DNS-domains får inte oavsiktligt lösas enbart publikt.
Säkraste varianten är ett konkret Domain-undantag. Alla Subdomains undantas också och löses via normalt system-DNS.
Retry with system- or application-configured DNS services when DNS Protection returns NXDOMAIN är en fallback men mindre effektiv än en underhållen lista över interna zoner.
Blocksidor och certifikat
För HTTPS-domains behöver webbläsaren ett betrott DNS Protection Certificate för att visa en begriplig blocksida i stället för en certifikatvarning.
Automatically deploy the DNS Protection signing certificate to devices distribuerar Root Certificate. Testa först befintliga certifikatpolicies, webbläsare och restriktiva Trust Stores.
Dessutom måste blockpage.dnsprotection.sophos.com kunna nås utan Web Filtering eller TLS Decryption som ändrar blocksidans destination. Om en Sophos Firewall använder Web Proxy med Pharming Protection ska den antingen använda DNS Protection som resolver eller ha en separat Allow-regel för detta FQDN och en TLS-regel med Do not decrypt.
En Domain kan vara blockerad även utan synlig blocksida. Felsök därför DNS Protection Logs och Policy-matchningar.
Pilot och validering
Pilotgruppen testar minst:
- tillåtna och blockerade publika Domains,
- interna kortnamn och FQDN,
- VPN, Home Office och kontor,
- webbläsare med och utan eget Secure DNS,
- blocksida och Certificate Trust,
- program med inbyggt DNS over HTTPS,
- beteende vid avbrott eller Proxy-blockering.
I DNS Protection Logs kontrolleras även Source Location, Policy och Action.
Utvärdera Logs och Reports
DNS Protection Reports ligger cirka 15 till 25 minuter efter aktuell trafik. Ändringar av Location- eller Policy-namn kan visas först 30 minuter till fyra timmar senare i Reports. Denna fördröjning tas med i testerna.
För Endpoint-trafik finns, utöver Location, även User och Device ID som kolumner. Därmed går det att kontrollera om en förfrågan verkligen kom från den förväntade agenten och inte bara från samma publika IP-adress. Viktiga vyer är DNS usage, DNS usage by source och High risk devices.
Sparade Templates bevarar filter och presentation, men inte data eller tidsperiod. Schemalagda exporter har olika gränser för rader och kolumner beroende på format; exporterade filer raderas efter 90 dagar. Incidentdata behöver därför en egen Retention.
Vanliga problem
Interna namn kan inte lösas
Lägg till den interna zonen som Domain-undantag. Kontrollera därefter lokal DNS Server, Search Suffix och effektiv Endpoint DNS Policy.
Enheten visas inte i Endpoint Policy
Kontrollera plattform, licens, agentkomponent och Agent Mode. Integrationen stöder för närvarande bara Windows Endpoints, inte servrar eller macOS.
Blocksidan visar certifikatfel
Kontrollera distribution och Trust för DNS Protection Signing Certificate. Egna Browser Trust Stores kan kräva ytterligare hantering.
Webbläsaren kringgår Policy
Webbläsare och program kan använda egna DNS over HTTPS-vägar. Kontrollera faktisk Resolver och Endpoint Events innan policyn bedöms som funktionslös.
Tillåten Domain blockeras fortfarande
Kontrollera först Threat Reputation och en möjlig CNAME. Om målnamnet är tillåtet men dess CNAME tillhör en blockerad kategori kan anslutningen fortfarande misslyckas. En uppenbart felaktig kategori skickas in för Recategorization i stället för att kringgås med allt bredare Allow Lists.
Ny blockering gäller inte omedelbart
DNS-svar som redan finns i cache kan användas tills deras TTL löper ut. Policy, Report och testtid dokumenteras därför tillsammans; att spara samma regel flera gånger påskyndar inte TTL-förloppet.