Filtrage DNS ou Secure Web Gateway : quand utiliser l'outil le plus lourd ?

Choisissez le filtrage DNS au niveau de la résolution sous la norme RFC 1035 lorsque vous protégez des appareils non gérés sur les réseaux WiFi dans plus de 80 000 sites répartis dans 90 pays, sans installer le moindre matériel. Choisissez une passerelle web sécurisée lorsque vous inspectez des URL complètes, des téléchargements ou des envois sur des appareils gérés utilisant des plateformes telles que Microsoft Entra ID. Le filtrage DNS bloque les destinations malveillantes avant que les connexions ne s'établissent, tandis que les passerelles servent de proxy et déchiffrent le trafic.

Filtrage DNS vs passerelle web sécurisée : la réponse courte

La réponse dépend d'une seule question : devez-vous voir l'intérieur de la connexion, ou seulement sa destination ?

Le filtrage DNS se prononce au niveau du nom de domaine. Il refuse de résoudre une destination malveillante ou indésirable, empêchant ainsi l'appareil de s'y connecter. Une passerelle web sécurisée (SWG) est un proxy situé sur le chemin du trafic. Elle peut lire l'URL complète, le fichier et la page, mais uniquement après avoir déchiffré le protocole TLS.

Sur un réseau WiFi invité, la question ne se pose même pas. Vous ne pouvez pas installer de certificat racine sur le téléphone d'un invité. Sans ce certificat, une passerelle ne peut pas déchiffrer le trafic sans provoquer d'erreurs de certificat. Le filtrage DNS protège chaque appareil sur le réseau sans aucune installation. C'est pourquoi il constitue le choix par défaut pour le secteur de l'hôtellerie, du commerce de détail, des hubs de transport et des événements.

Sur les ordinateurs portables gérés du personnel qui traitent des données réglementées, la passerelle justifie son coût. Vous en avez besoin pour inspecter les envois de fichiers, appliquer des règles sur les chemins d'accès URL ou mettre en œuvre la prévention contre la perte de données (DLP). La DLP empêche les données sensibles de quitter votre réseau.

La plupart des sites ont besoin d'un DNS protecteur sur chaque réseau et d'une passerelle sur une minorité d'appareils gérés, si tant est qu'ils en aient besoin. Purple Shield fournit la première partie. La solution fonctionne de manière autonome sur n'importe quel réseau WiFi ou aux côtés de Purple Access, avec une politique par réseau et par VLAN. Pour découvrir les limites globales de l'approche DNS, consultez notre aperçu sur les limites du filtrage DNS.

Ce que nous avons comparé, et pourquoi ces critères sont décisifs

Nous avons évalué les deux approches selon huit critères. Chacun d'entre eux correspond à une décision qu'un responsable de la sécurité informatique ou un responsable d'exploitation de site doit prendre lorsqu'il définit le périmètre du filtrage. Nous avons extrait les capacités de chaque option à partir de ses propres documents publics et des retours issus du déploiement des deux solutions.

L'emplacement vient en premier car il façonne les sept autres critères. Le filtrage DNS intervient au niveau de la résolution de noms, la recherche définie par la norme RFC 1035. Chaque appareil interroge un résolveur pour obtenir une adresse avant de se connecter. Un résolveur DNS protecteur vérifie le domaine par rapport aux renseignements sur les menaces et à la politique de catégories, puis répond ou refuse la demande.

Comme cette vérification a lieu avant toute connexion, elle intercepte ce qu'un pare-feu manque. Les règles de pare-feu se basent sur les adresses IP et les ports. Les domaines malveillants se déplacent sur des adresses cloud partagées qu'un pare-feu ne peut pas bloquer en toute sécurité.

Une passerelle web sécurisée intervient plus tard, au cœur de la connexion. Le trafic l'atteint via un agent d'extrémité, un fichier de configuration automatique de proxy (PAC) ou un équipement en ligne. Pour lire le trafic HTTPS, la passerelle termine la connexion TLS, inspecte le contenu puis le chiffre à nouveau. Cette profondeur nécessite un certificat racine de confiance sur chaque appareil inspecté.

Les huit critères :

• Emplacement : l'endroit de la connexion où le filtre prend sa décision.
• Visibilité : ce que le filtre peut voir, du nom de domaine au contenu de la page.
• Appareils non gérés : la prise en compte ou non du trafic des invités et du BYOD (apportez votre propre appareil).
• Empreinte de déploiement : le matériel, les agents et les certificats requis.
• Performance : la latence et la bande passante ajoutées par le filtre.
• Comportement en cas de défaillance : ce qu'il advient lorsque le service est inaccessible.
• Résistance au contournement : la facilité avec laquelle un appareil détourne le filtre, par exemple via DNS over TLS (DoT) ou DNS over HTTPS (DoH).
• Empreinte sur la confidentialité : la quantité de données personnelles traitées par le filtre.

Sur le marché, la frontière n'est pas toujours nette. DNSFilter est un service de protection DNS, appartenant à la même catégorie que Shield. Cisco Umbrella vend une sécurité au niveau de la couche DNS et, dans ses offres supérieures, une passerelle web sécurisée complète, couvrant ainsi les deux aspects de ce comparatif. Lorsque vous évaluez un fournisseur, vérifiez la couche délivrée par chaque offre plutôt que de vous fier uniquement au nom du produit.

Comment se comparent le filtrage DNS et une passerelle web sécurisée ?

Deux lignes méritent une lecture plus attentive. Concernant la visibilité, la passerelle l'emporte haut la main. Un filtre DNS voit exemple.com mais jamais le chemin vers un fichier sur ce site. Nous expliquons pourquoi dans pourquoi le filtrage DNS ne peut pas voir les URL complètes. Sur les appareils non gérés, le filtrage DNS l'emporte haut la main, car la couverture des invités ne nécessite aucun certificat ni aucun agent.

Les autres lignes représentent des compromis que vous pouvez gérer. Vous pouvez bloquer le contournement par DNS chiffré grâce à des règles de pare-feu. La latence de la passerelle est tolérable sur un service cloud bien dimensionné. Le comportement en cas de défaillance dépend du produit, c'est pourquoi nous énonçons clairement celui de Shield : il échoue en mode fermé.

Là où le filtrage DNS l'emporte

WiFi invité et appareils non gérés

Chaque appareil sur un réseau WiFi utilise le serveur DNS transmis par le DHCP. Orientez ce serveur vers un résolveur protecteur et chaque téléphone, ordinateur portable, console de jeu et TV connectée est couvert. Personne n'installe quoi que ce soit. Le Captive Portal, la page de connexion affichée avant l'accès au réseau, reste inchangé. À grande échelle, c'est la seule méthode pratique pour filtrer les invités, les résidents, les passagers et les visiteurs.

De nombreux sites, aucun nouveau matériel

Passer au filtrage DNS est un simple changement de configuration, pas un projet d'envergure. Shield fonctionne sur le WiFi que vous exploitez déjà, notamment Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet.

Vous définissez une politique par réseau et par VLAN. Un réseau visiteurs familial et un réseau réservé au personnel sur le même site peuvent donc appliquer des règles différentes. Votre réseau personnel peut attribuer des VLAN selon le rôle via IEEE 802.1X, la norme d'authentification réseau basée sur les ports. Si tel est le cas, la politique DNS spécifique à chaque rôle s'applique sans proxy.

Blocage plus précoce des menaces

Le DNS identifie l'intention avant même que le moindre trafic ne circule. Un appareil piraté par hameçonnage doit effectuer une recherche de domaine avant de pouvoir se connecter. Il en va de même pour un appareil infecté qui communique avec un serveur de commande et de contrôle. Shield signale les menaces plus tôt dans leur cycle de vie, avant qu'une connexion web ne s'établisse. Ce délai peut déterminer si un domaine d'hameçonnage est bloqué avant ou après le premier clic.

Réseaux plus légers

Le blocage des publicités s'effectue au niveau de la même couche. Lorsqu'il est activé, le blocage publicitaire réduit l'utilisation de la bande passante et diminue le volume de requêtes DNS. Sur le réseau très fréquenté d'un établissement disposant d'une liaison réseau limitée, cette capacité est récupérée sans dépense supplémentaire.

Une défaillance qui garantit la sécurité

Shield applique un mode de défaillance sécurisé (fail closed), de sorte qu'une panne ne laisse jamais un réseau sans filtrage. Cela revêt une importance capitale sur les réseaux visiteurs, où vous assumez le risque réputationnel lié au contenu chargé. Nous détaillons ces arbitrages dans DNS filtering fail open vs fail closed.

Une empreinte réduite sur la vie privée

Un filtre DNS traite des noms de domaine, et non le contenu des pages. Au regard du GDPR, il s'agit d'un ensemble de données à caractère personnel plus restreint que des sessions de navigation déchiffrées. Vos registres de traitement restent ainsi plus simples.

Là où une passerelle web sécurisée prévaut

Soyez précis quant aux atouts de la passerelle. Si vous partez du principe que le filtrage DNS les couvre, votre programme de sécurité comportera de véritables lacunes.

Contrôle complet des URL et des chemins d'accès

Certaines politiques s'appliquent en dessous du niveau du domaine. Vous souhaitez peut-être autoriser un service de stockage cloud mais bloquer un dossier partagé spécifique. Vous souhaitez peut-être autoriser un site d'actualités mais bloquer ses pages de commentaires. Seul un proxy qui voit l'URL complète peut appliquer de telles règles. Les plateformes partagées constituent le cas le plus complexe, car un filtre DNS doit autoriser ou bloquer l'intégralité du domaine.

Inspection des fichiers et du contenu

Une passerelle peut analyser les téléchargements à la recherche de logiciels malveillants, bloquer certains types de fichiers et placer les exécutables inconnus en environnement d'isolement (sandbox). Le filtrage DNS bloque les connexions vers les domaines reconnus comme malveillants. Un fichier malveillant hébergé sur un domaine de confiance continuera d'être acheminé.

Prévention de la perte de données

Votre personnel peut traiter des données de cartes de paiement relevant de PCI DSS ou des dossiers de patients. Si c'est le cas, vous devrez peut-être inspecter les téléversements à la recherche de contenus sensibles. Cela nécessite un trafic déchiffré ainsi qu'une passerelle ou un outil DLP dédié.

Politique par personne hors du réseau

Un agent de passerelle applique une politique basée sur l'identité nominative, synchronisée depuis Microsoft Entra ID, Okta ou Google Workspace. Cette politique suit un ordinateur portable géré sur le haut débit domestique ou le WiFi d'un hôtel. La politique de Shield est définie par réseau et VLAN, ce qui convient aux établissements et aux sites fixes. Un personnel à distance utilisant des appareils gérés peut nécessiter une application par personne quel que soit le lieu de connexion.

Contrôles d'applications

De nombreuses passerelles décodent le trafic pour des applications spécifiques. Par exemple, elles peuvent autoriser le personnel à consulter un service de partage de fichiers tout en bloquant les téléversements vers celui-ci. Le filtrage DNS peut autoriser ou bloquer les domaines d'une application, mais pas les actions individuelles au sein de l'application.

Si vous évaluez ces lacunes par rapport à votre registre des risques, lisez le filtrage DNS est-il suffisant ? pour connaître les contrôles qui s'ajoutent au DNS protecteur.

Combien coûte l'exploitation de chaque solution ?

Les deux approches ont des structures de prix différentes ; comparez donc leurs structures de coûts plutôt que les chiffres bruts. Nous ne citons pas les prix des concurrents. Confirmez les conditions actuelles auprès de chaque fournisseur.

Le coût caché d'une passerelle réside dans la gestion des certificats et des exceptions. Les applications qui appliquent le pinning de leurs certificats cessent de fonctionner lors de l'inspection TLS, chacune nécessitant donc une exception. La plupart des déploiements exemptent les sites bancaires et de santé pour des raisons de confidentialité. Chaque exemption devient une règle à maintenir. Les agents nécessitent également des mises à jour sur l'ensemble du parc d'équipements. Il ne s'agit pas d'un défaut, mais du prix à payer pour inspecter le trafic interne.

Le coût de fonctionnement du filtrage DNS réside dans la gestion des politiques et le contrôle des contournements. Vous devez examiner les décisions relatives aux catégories et traiter les demandes d'autorisation. Vous devez également maintenir à jour les règles de pare-feu pour le DNS chiffré au fur et meure que de nouveaux résolveurs publics apparaissent.

Que implique le passage entre le filtrage DNS et une passerelle ?

D'un proxy au filtrage DNS sur les réseaux invités

Il s'agit du changement le plus fréquent. Les équipes constatent souvent qu'un proxy sur le WiFi invités ne filtre guère plus que les noms d'hôtes, car il ne peut pas déchiffrer le trafic des invités. Les étapes sont les suivantes :

1. Exporter vos catégories proxy actuelles ainsi que vos listes d'autorisation et de blocage.
2. Les associer aux catégories DNS. Les règles relatives aux chemins d'accès URL n'ont pas d'équivalent DNS. Décidez donc, règle par règle, de bloquer ou d'autoriser l'ensemble du domaine.
3. Pointer le serveur DNS dans la plage DHCP de chaque réseau vers le résolveur de protection.
4. Bloquer le DNS sortant vers d'autres résolveurs, le DoT sur le port 853 et les points de terminaison DoH connus.
5. Tester à partir d'un véritable appareil invité, puis retirer la suite de règles proxy pour ce réseau.

Les étapes de configuration de Shield sont détaillées dans comment fonctionne Shield. Les normes DNS chiffrées sont le RFC 7858 pour le DoT et le RFC 8484 pour le DoH.

Ajouter une passerelle pour les appareils gérés

Cette démarche est plus lourde et doit être limitée aux appareils qui en ont besoin. Déployez le certificat racine via votre plateforme de gestion des appareils mobiles (MDM). Déployez l'agent ou le fichier PAC, puis créez des exceptions pour les applications avec pinning et les catégories sensibles relatives à la vie privée. Réalisez une analyse d'impact sur la protection des données (DPIA) avant de démarrer l'inspection. Conservez Shield en sous-couche, car il protège toujours tous les appareils non couverts par la passerelle.

Exécuter les deux

Superposer les deux constitue la conception la plus solide sur les sites mixtes. Shield bloque les domaines malveillants connus lors de la résolution, tant sur les réseaux invités que sur ceux du personnel. La passerelle inspecte ensuite le trafic géré en profondeur. Comme le DNS élimine d'abord les destinations malveillantes, moins de trafic hostile atteint le proxy. Alignez les deux politiques de catégories afin qu'un domaine bloqué à un niveau ne soit pas autorisé à l'autre.

Comment choisir entre le filtrage DNS et une passerelle web sécurisée

Utilisez cette règle de décision. Si vous ne possédez pas les appareils, utilisez le filtrage DNS. Si vous possédez les appareils et devez inspecter le trafic, ajoutez une passerelle sur ces appareils uniquement. Partout ailleurs, le DNS protecteur est l'outil le mieux adapté.

Votre prochaine étape consiste à lister vos réseaux et VLAN, et à marquer ceux qui transportent des appareils non gérés. Ces réseaux bénéficient dès maintenant d'un DNS protecteur. Consultez ensuite comment fonctionne Shield pour le déploiement. Pour en savoir plus sur les contrôles plus larges entourant l'identité, le chiffrement et la segmentation, lisez notre guide de sécurité WiFi pour les entreprises.

Foire aux questions

Le filtrage DNS est-il moins cher à exploiter qu'une passerelle web sécurisée ?

En général, oui, car le filtrage DNS ne nécessite aucun matériel, aucun agent sur l'équipement terminal et aucune gestion de certificat. Une passerelle ajoute des licences par poste ou par appareil, la maintenance des agents, le renouvellement des certificats racines et des règles d'exception pour les applications qui ne fonctionnent plus sous inspection. Comparez le coût d'exploitation total plutôt que les lignes de licence, et confirmez les conditions actuelles auprès de chaque fournisseur.

Purple Shield fonctionne-t-il avec le matériel WiFi que je possède déjà ?

Oui. Shield fonctionne au niveau de la couche DNS, il s'exécute donc sur n'importe quel WiFi, notamment Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous pointez le DNS de chaque réseau vers Shield et définissez une politique par réseau et VLAN. Il fonctionne de manière autonome ou aux côtés de Purple Access, sans aucun nouveau matériel sur site.

Le filtrage DNS peut-il remplacer une passerelle web sécurisée ?

Il le peut sur les réseaux d'invités et de sites physiques, mais pas là où vous devez inspecter le trafic. Le filtrage DNS bloque les domaines malveillants et indésirables avant même l'ouverture d'une connexion, ce qui couvre la plupart des besoins en matière de menaces et de contenus pour les visiteurs. Il ne peut pas appliquer de règles sur les chemins d'accès URL, analyser des fichiers sur des domaines de confiance ni inspecter les téléversements pour la prévention contre la perte de données (DLP). Conservez une passerelle pour les appareils gérés qui nécessitent ces contrôles.

Puis-je faire fonctionner conjointement le filtrage DNS et une passerelle Web sécurisée ?

Oui, et c'est la configuration la plus robuste pour les sites mixtes. Shield filtre chaque équipement lors de la résolution DNS, y compris les appareils invités qu'une passerelle ne peut pas inspecter. La passerelle inspecte ensuite en profondeur les équipements gérés du personnel. Les domaines réputés malveillants étant bloqués en premier par le DNS, moins de trafic malveillant atteint le proxy. Veillez à aligner les politiques des deux catégories afin qu'un domaine bloqué à un niveau ne soit pas autorisé à un autre.

Une passerelle Web sécurisée fonctionne-t-elle sur le WiFi ?

Seulement partiellement. Sans certificat racine de confiance sur l'équipement, une passerelle ne peut pas déchiffrer le trafic HTTPS sans provoquer d'erreurs de certificat. Or, vous ne pouvez pas installer de certificats sur les téléphones des invités. Une passerelle peut toujours filtrer le nom d'hôte envoyé lors de la négociation TLS, ce qui est proche de ce que fait déjà le filtrage DNS avec moins d'infrastructures. Pour le WiFi, le DNS protecteur constitue le choix le plus pratique.

Que devient le filtrage si le service DNS tombe en panne ?

Avec Shield, le filtrage reste actif. Shield fonctionne en mode « fail-closed » (fermeture de sécurité), de sorte qu'une panne ne laisse jamais un réseau sans filtrage. Les services fonctionnant en mode « fail-open » (ouverture de sécurité) renvoient les équipements vers un résolveur non filtré pour maintenir le flux de trafic, ce qui laisse le réseau exposé pendant toute la durée de l'interruption. Demandez à chaque fournisseur d'indiquer par écrit son comportement en cas de panne et testez-le avant la mise en service.

L'inspection TLS est-elle compatible avec le GDPR ?

Elle peut l'être, mais elle exige une gouvernance plus stricte que le filtrage DNS. Le déchiffrement du trafic du personnel implique le traitement du contenu de leurs communications. Vous devez donc disposer d'une base légale, d'une analyse d'impact relative à la protection des données et d'une information claire destinée au personnel. La plupart des déploiements exemptent également les sites bancaires et de santé. Le filtrage DNS traite uniquement les noms de domaine, une empreinte plus restreinte qui est plus simple à justifier et à documenter.

Quel effort nécessite le passage d'un proxy au filtrage DNS ?

Moins que ce à quoi la plupart des équipes s'attendent, car la bascule se résume à une modification DNS par réseau. Le travail se divise en trois étapes. Vous associez les catégories du proxy aux catégories DNS, vous décidez de la marche à suivre pour les règles basées sur les chemins d'accès URL qui n'ont pas d'équivalent DNS, et vous bloquez le DNS chiffré au niveau du pare-feu. Testez chaque réseau depuis un équipement réel avant de retirer l'ancien jeu de règles.