Filtraggio DNS per scuole e biblioteche

Il filtro DNS per scuole e biblioteche blocca i siti dannosi e malevoli a livello di ricerca DNS, prima ancora che venga aperta qualsiasi connessione. Copre ogni dispositivo sulla tua rete WiFi senza bisogno di agenti o nuovo hardware. Per superare i controlli più severi, deve anche impedire l'aggiramento tramite DNS crittografato, bloccare la ricerca sicura (Safe Search) su Google, Bing e YouTube e generare report che il tuo responsabile della tutela (safeguarding) possa documentare.

Che cos'è il filtro DNS per scuole e biblioteche?

Ogni connessione web inizia con una ricerca DNS. Un dispositivo chiede a un resolver di trasformare un nome di dominio in un indirizzo IP. Il filtro DNS aggiunge un controllo di conformità alla risposta. Se il dominio rientra in una categoria bloccata o mostra un segnale di minaccia, il resolver non fornisce l'indirizzo reale. Il browser non apre mai la connessione, di conseguenza il contenuto, il malware o l'annuncio pubblicitario non vengono mai caricati.

Un resolver che esegue questa funzione è chiamato DNS protettivo. Su una rete scolastica o di una biblioteca svolge tre compiti contemporaneamente:

• Applica le tue policy sui contenuti.
• Blocca i domini di phishing e malware.
• Forza i motori di ricerca nelle loro modalità sicure.

Dove avviene il filtraggio e cosa sfugge a un firewall?

Il filtraggio avviene durante la ricerca DNS, prima che il dispositivo abbia un indirizzo a cui connettersi. Un firewall interviene successivamente, sulla connessione vera e propria. Senza decrittografia, un firewall vede solo un indirizzo IP, una porta e ben poco altro.

La maggior parte del traffico web ora viaggia su HTTPS tramite la porta 443. Una grande percentuale transita attraverso reti di distribuzione dei contenuti (CDN), che ospitano migliaia di siti non correlati dietro indirizzi condivisi. Se blocchi uno di quegli IP, blocchi anche siti legittimi. Se lo autorizzi, il sito dannoso riesce a passare.

Un firewall può ispezionare il traffico HTTPS, ma solo dopo aver installato un certificato attendibile su ciascun dispositivo. Questo è fattibile sui laptop di proprietà della scuola, ma non è possibile farlo sul telefono di un visitatore in biblioteca o sul tablet personale di uno studente connesso alla rete WiFi. Il filtro DNS non richiede nulla sul dispositivo. Si applica a qualsiasi apparato che acquisisca le impostazioni DNS dalla tua rete.

Perché un filtro dei contenuti DNS per scuole è importante per la tua rete?

Scuole: KCSIE e gli standard DfE

In Inghilterra, Keeping Children Safe in Education (KCSIE) è la guida normativa sulla tutela dei minori pubblicata dal Department for Education (DfE). Richiede agli organi direttivi e ai proprietari di predisporre sistemi adeguati di filtraggio e monitoraggio e di valutarne regolarmente l'efficacia. Assegna al responsabile della tutela dei minori (DSL) la responsabilità principale per la sicurezza online, inclusa la comprensione dei sistemi di filtraggio e monitoraggio.

Gli standard di filtraggio e monitoraggio del DfE per scuole e istituti superiori stabiliscono cosa comporta questo aspetto nella pratica:

• Assegnare ruoli chiari.
• Verificare la propria fornitura almeno una volta all'anno.
• Bloccare i contenuti dannosi e inappropriati senza incidere irragionevolmente sulla didattica e sull'apprendimento.

KCSIE indirizza le scuole alla definizione di filtraggio appropriato del UK Safer Internet Centre. Tale definizione richiede che il provider sia membro dell'Internet Watch Foundation (IWF) e blocchi l'elenco IWF dei contenuti relativi ad abusi sessuali su minori. Richiede inoltre che il provider blocchi l'elenco, valutato dalla polizia, dei contenuti terroristici illeciti fornito dalla Counter Terrorism Internet Referral Unit (CTIRU). Poni entrambe le domande a qualsiasi fornitore nella tua selezione.

Le scuole statunitensi devono invece fare i conti con il Children's Internet Protection Act (CIPA). Trattiamo i passaggi per la certificazione nella nostra guida separata sul filtraggio WiFi conforme a CIPA. Per quanto riguarda le policy, consulta Filtraggio web per le scuole: policy efficaci.

Le biblioteche hanno bisogno del filtraggio dei contenuti?

All'atto pratico, sì. L'obbligo legale dipende da dove si opera e da come si viene finanziati.

Negli Stati Uniti, il CIPA si applica alle biblioteche pubbliche che usufruiscono degli sconti E-rate per l'accesso a Internet. Tali biblioteche devono adottare una misura tecnologica di protezione che blocchi le immagini oscene, il materiale relativo ad abusi sessuali su minori o i contenuti dannosi per i minori. La Federal Communications Commission (FCC) consente a una biblioteca di disattivare il filtro per un adulto impegnato in ricerche in buona fede o per altri scopi leciti.

Nel Regno Unito, nessuna legge impone a una biblioteca pubblica di applicare filtri. Molti servizi bibliotecari filtrano comunque e molti richiedono l'accreditamento Friendly WiFi. Friendly WiFi è un programma di certificazione promosso dal governo per il WiFi pubblico. Il suo standard minimo richiede di filtrare la pornografia e i contenuti sugli abusi sessuali su minori elencati dall'IWF ovunque possano essere presenti bambini.

Le biblioteche hanno un compito più difficile rispetto alle scuole. Un'unica rete serve sia un bambino al doposcuola sia un adulto che ricerca informazioni su una patologia medica. La tua policy deve proteggere il bambino senza bloccare eccessivamente l'adulto. Separare questi utenti su reti distinte è di solito la soluzione più pulita. Come configurare la segmentazione della rete per ospiti e personale illustra nel dettaglio questo approccio.

Come funziona il filtraggio DNS per le scuole e le biblioteche?

È sufficiente modificare un'unica impostazione: i server DNS forniti ai dispositivi dai tuoi scope DHCP. Access point, controller e switch rimangono dove sono. Ogni dispositivo invia quindi le proprie richieste di risoluzione al resolver protettivo, e il resolver applica la tua policy.

Categorie di contenuti e protezione dalle minacce

Il resolver verifica ciascun dominio rispetto a due serie di segnali.

• Categorie di contenuti, come contenuti per adulti, gioco d'azzardo, armi o proxy e anonimizzatori. Scegli quali bloccare per ciascun gruppo di utenti.
• Threat intelligence, che copre phishing, malware, command-and-control e dominii registrati di recente usati negli attacchi.

La velocità è fondamentale per quanto riguarda le minacce, perché gli attaccanti registrano i dominii e li utilizzano nel giro di poche ore. Purple Shield segnala queste minacce non appena i dominii malevoli vengono identificati. Per una scuola, questo fa la differenza tra un membro del personale che clicca su un link di phishing e il resolver che si rifiuta di rispondere.

L'impatto del blocco degli annunci pubblicitari sul WiFi condiviso ad alto traffico

Le biblioteche e le scuole spesso eseguono un WiFi ad alta densità su una connessione limitata. Bloccare i domini pubblicitari e di analisi a livello di DNS rimuove il traffico non necessario prima che raggiunga la connessione. Filtrare queste richieste comporta:

• caricamenti delle pagine più rapidi per gli utenti
• un utilizzo complessivo dei dati ridotto
• un numero inferiore di query DNS sulla rete
• volumi di traffico web complessivi più bassi

Su una connessione della biblioteca condivisa da PC pubblici e smartphone degli ospiti, quel margine rimasto viene destinato a compiti a casa, domande di lavoro e lezioni video.

Come si impone Safe Search su una rete scolastica?

Il blocco per categorie arresta interi siti. I motori di ricerca sono più complessi, perché Google, Bing e YouTube sono essenziali per l'apprendimento ma restituiscono risultati espliciti nelle loro modalità predefinite. Ciascun fornitore documenta un metodo DNS che impone la modalità sicura a livello di rete:

• Google pubblica forcesafesearch.google.com. Quando il resolver risponde alle ricerche Google con quell'indirizzo, SafeSearch viene bloccato in posizione attiva e l'utente che effettua la ricerca non può disattivarlo.
• Bing pubblica strict.bing.com, che impone lo stesso livello di SafeSearch restrittivo nello stesso modo.
• YouTube pubblica restrict.youtube.com e restrictmoderate.youtube.com, che impongono la Modalità con restrizioni a livello restrittivo o moderato.

Un servizio DNS protettivo gestisce questa mappatura al posto tuo, permettendoti di scegliere un'impostazione anziché modificare manualmente i record. Una restrizione moderata di YouTube di solito è adatta alle scuole secondarie, poiché la modalità restrittiva nasconde molti video didattici legittimi. Effettua test con contenuti didattici reali prima di distribuire la funzione in ogni sede.

Come fanno gli studenti ad aggirare il filtraggio WiFi della scuola tramite DoH?

Il DNS crittografato è il modo più comune per aggirare un filtro DNS. Il DNS over HTTPS (DoH, definito in RFC 8484) invia le ricerche all'interno del normale traffico HTTPS. Il DNS over TLS (DoT, RFC 7858) le crittografa sulla porta 853. Entrambi possono trasportare le ricerche di un dispositivo oltre il tuo resolver verso un resolver pubblico che non applica alcuna regola.

Gli studenti raramente devono configurare questa opzione autonomamente, poiché i browser e i sistemi operativi integrano già opzioni di DNS crittografato. La tabella seguente associa ogni percorso di aggiramento al metodo documentato per chiuderlo.

Percorso di aggiramento	Come aggira il tuo filtro	Come chiuderlo
DoH predefinito su Firefox	Firefox può inviare ricerche a un resolver DoH pubblico	Non restituire alcuna risposta per il dominio canary di Mozilla, use-application-dns.net, ordinando a Firefox di continuare a usare il resolver della tua rete
DNS sicuro su Chrome ed Edge	Passa a DoH quando il resolver configurato ha un equivalente DoH noto	Imposta la regola DnsOverHttpsMode su disattivato sui dispositivi gestiti; sui dispositivi non gestiti il passaggio avviene solo nei confronti del provider del tuo resolver
iCloud Private Relay	Invia il traffico Safari e DNS tramite i server Apple	Restituisci una risposta negativa per mask.icloud.com e mask-h2.icloud.com, come documentato da Apple; i dispositivi mostreranno Private Relay come non disponibile
Private DNS su Android (DoT)	Invia ricerche tramite TLS sulla porta 853	Blocca la porta 853 in uscita sul firewall; la modalità automatica ripiegherà sul tuo resolver
Risolutori pubblici hard-coded	Il dispositivo o l'app ignora il DHCP e interroga un risolutore pubblico sulla porta 53	Blocca la porta 53 in uscita verso qualsiasi destinazione tranne il tuo risolutore protettivo
App VPN e proxy	Incanalano tutto il traffico all'esterno della rete	Blocca la categoria dei proxy e degli anonimizzatori, e blocca le app VPN tramite criteri MDM sui dispositivi gestiti

La soluzione combina regole DNS, regole del firewall e criteri del dispositivo, poiché nessun singolo livello chiude ogni percorso. La nostra guida separata sul blocco del DNS crittografato e sull'aggiramento DoH tratta ciascun controllo nel dettaglio.

Di quali report hanno bisogno le scuole e le biblioteche come prova?

I filtri di cui non puoi fornire prove non soddisferanno un organo di governo, un'ispezione Ofsted o un audit CIPA. Gli standard DfE prevedono una revisione annuale documentata. Negli Stati Uniti, la CIPA richiede una politica di sicurezza su Internet adottata dopo un avviso pubblico e un'udienza pubblica. Entrambi si basano sui registri.

Chiedi a qualsiasi fornitore se è in grado di esportare quanto segue:

• Ricerche bloccate per categoria, in modo che il DSL possa vedere quali pericoli il filtro ha effettivamente bloccato.
• Risultati per sede e per rete, in modo che un trust possa confrontare le scuole e un servizio bibliotecario possa confrontare le filiali.
• Tendenze nel tempo, per mostrare l'effetto delle modifiche ai criteri tra una revisione e l'altra.
• Segnali di aggiramento, come ricerche di domini di risolutori DoH, il dominio canary di Firefox o i domini Private Relay.
• Stato di Safe Search, con la prova che il blocco è stato applicato su ogni rete.
• Un registro delle modifiche ai criteri, che indichi chi ha modificato quale impostazione e quando.
• Un registro dei blocchi eccessivi, che annoti quali siti legittimi il personale ha chiesto di sbloccare e con quale rapidità sei intervenuto.

Il registro dei blocchi eccessivi conta più di quanto la maggior parte dei team si aspetti. Gli standard DfE mettono esplicitamente in guardia contro un filtraggio che incide irragionevolmente sull'insegnamento. Un registro delle richieste di sblocco e dei tempi di risposta dimostra che hai bilanciato la protezione con l'apprendimento.

Tieni presente la protezione dei dati. Ai sensi del UK GDPR, i log DNS che possono essere collegati a una persona identificabile sono dati personali. Imposta un periodo di conservazione, limita l'accesso al personale autorizzato e registra la base giuridica nella tua informativa sulla privacy. Purple possiede le certificazioni ISO 27001, GDPR, CCPA e Cyber Essentials, che puoi citare nella tua valutazione d'impatto sulla protezione dei dati.

Come si colloca il filtraggio DNS rispetto a ciò che stai già utilizzando?

Il DNS protettivo è uno strato sopra la rete esistente, non un suo sostituto. Purple è indipendente dall'hardware. Shield funziona su reti WiFi di Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet, poiché modifica il DNS fornito dalla rete, non gli access point.

La struttura abituale si presenta così:

• Firewall: blocca le porte 53 e 853 in uscita verso risolutori non approvati e continua a svolgere le funzioni perimetrali che il DNS non può gestire.
• Segmentazione della rete: reti o VLAN (LAN virtuali, che dividono una rete fisica in reti logiche isolate) separate per personale, studenti, visitatori e aree riservate ai bambini, ciascuna con le proprie regole.
• Mobile device management (MDM): applica la norma del browser e blocca le app VPN sui dispositivi di proprietà della scuola, anche al di fuori della struttura.
• Captive portal: la pagina di accesso visualizzata dai visitatori prima di andare online. Nel Guest WiFi è il luogo in cui si presenta la politica di utilizzo accettabile e si raccoglie il consenso.

Shield, DNSFilter e Cisco Umbrella a confronto

Tutti e tre filtrano a livello di DNS e tutti e tre possono applicare Safe Search. La differenza risiede nelle basi su cui sono stati sviluppati.

	Purple Shield	DNSFilter	Cisco Umbrella
Dove avviene il filtraggio	Ricerca DNS	Ricerca DNS	Ricerca DNS, con secure web gateway opzionale
Nuovo hardware necessario	Nessuno: basta modificare il DNS fornito dal WiFi	Nessuno: inoltro DNS o agente roaming	Nessuno per il livello DNS; appliance virtuale opzionale per l'attribuzione dell'IP interno
Applicazione Safe Search	Google, Bing e YouTube	Google, Bing e YouTube	Google, Bing e YouTube
Dispositivi fuori rete	Copre i dispositivi sul WiFi della struttura; usa l'MDM per i dispositivi da portare a casa	Agente client roaming	Modulo roaming in Cisco Secure Client
Gestito da	La piattaforma Purple, insieme a Guest WiFi e Staff WiFi	Dashboard DNSFilter	Dashboard Cisco Umbrella, all'interno di Cisco Secure Access
Soluzione ideale per	Strutture che utilizzano già, o stanno passando a, Purple WiFi	MSP e flotte di endpoint basate su agenti	Organizzazioni che utilizzano gli standard di sicurezza Cisco

Scegli Cisco Umbrella se il tuo istituto o ente utilizza già Cisco Secure Access e desidera un unico fornitore di sicurezza. Scegli DNSFilter se hai bisogno di un agente su ogni laptop da portare a casa e gestisci molti clienti come MSP. Scegli Shield se la tua priorità è il WiFi della struttura stessa: filtraggio, protezione dalle minacce e blocco degli annunci sulla rete a cui si collegano studenti e visitatori, gestito insieme al tuo WiFi. Per una visione di mercato più ampia, leggi Il miglior DNS protettivo per WiFi ospiti e pubblico.

Come funziona in pratica?

I due scenari seguenti sono esempi illustrativi, basati sui modelli di implementazione descritti sopra.

Un servizio bibliotecario provinciale che lavora per ottenere la certificazione Friendly WiFi

La situazione. Un servizio bibliotecario gestisce il WiFi pubblico in varie sedi su un'unica rete condivisa. I doposcuola per bambini e i visitatori adulti utilizzano lo stesso SSID. Il suo vecchio filtro funzionava su un firewall in ogni sede e la maggior parte delle filiali consentiva risultati espliciti nelle immagini di Google.

Cosa è stato fatto. Il responsabile IT ha suddiviso ogni sede su due reti: una rete per bambini con una norma rigida e una rete per adulti con una più flessibile. Entrambe puntavano a un risolutore DNS protettivo che bloccava la pornografia e i contenuti nell'elenco IWF, soddisfacendo i requisiti minimi di Friendly WiFi. Safe Search è stato bloccato su Google e Bing per entrambe le reti. La modalità con restrizioni di YouTube è stata impostata su rigida per i bambini e moderata per gli adulti. Il firewall ha bloccato il DNS in uscita verso qualsiasi risolutore eccetto quello protettivo.

Il risultato misurabile. Il team ha testato un elenco fisso di categorie e termini di ricerca su entrambe le reti in ogni sede. Ogni sede ha superato il test e i risultati sono stati inseriti nella domanda Friendly WiFi come prova. Il personale della sede gestisce ora le richieste di sblocco di contenuti per adulti tramite un processo scritto basato su una lista di consentiti, e il servizio registra ogni richiesta e il tempo di risoluzione.

Un trust multi-accademico che chiude il divario DoH

La situazione. Un trust gestisce scuole secondarie, con WiFi per dispositivi personali riservato agli studenti degli ultimi anni. Un referente per la salvaguardia (DSL) ha notato che gli studenti accedevano a siti social e di gioco bloccati dai propri telefoni. I laptop di proprietà della scuola non mostravano questo problema.

Cosa è stato fatto. Il responsabile di rete ha esaminato le vie di aggiramento nella tabella precedente. Il resolver ora non restituisce alcuna risposta per il dominio canary di Firefox e per i domini iCloud Private Relay. Il firewall di ciascuna scuola blocca la porta 853 in uscita e la porta 53 in uscita verso resolver pubblici. Sui laptop di proprietà della scuola, l'MDM disattiva il DNS sicuro di Chrome ed Edge. La categoria proxy e anonimizzatori è bloccata sulla rete degli studenti degli ultimi anni.

Il risultato misurabile. I telefoni di test con Firefox, Safari con Private Relay e Android Private DNS sono tutti rientrati nel resolver della scuola. Le categorie bloccate sono state quindi applicate come previsto. Le ricerche relative ai segnali di aggiramento appaiono ora nel report mensile riesaminato dal DSL, che alimenta la revisione annuale del filtraggio del trust ai sensi degli standard DfE. Per strutture di queste dimensioni, il filtraggio DNS per MSP e strutture multi-sede copre la gestione centralizzata delle policy tra le diverse sedi.

Quali sono i limiti del filtraggio DNS che dovresti conoscere?

Sii chiaro con i tuoi amministratori su ciò che il filtraggio DNS non può fare.

• Funziona sui domini, non sulle singole pagine. Non può bloccare una singola pagina dannosa su un dominio altrimenti consentito. La Modalità con restrizioni di YouTube e Safe Search riducono tale divario, ma non lo eliminano del tutto.
• Si tratta di filtraggio, non di monitoraggio. Gli standard DfE considerano il monitoraggio come un obbligo distinto. Su una rete condivisa, i log DNS mostrano un dispositivo, non uno studente specifico. L'attribuzione per singola persona richiede un'autenticazione individuale, come 802.1X (controllo dell'accesso alla rete basato su porte tramite credenziali individuali) o iPSK (una chiave precondivisa univoca per persona). Le reti basate sull'identità di Purple offrono entrambe le opzioni.
• Si ferma al confine della tua rete. I dispositivi portati a casa connessi alla banda larga domestica richiedono MDM o un agente.
• L'aggiramento intenzionale richiede diversi livelli di protezione. Una VPN non ancora categorizzata può comunque creare un tunnel verso l'esterno fino a quando il firewall o l'MDM non la rilevano.

Nessuno di questi aspetti è un motivo per evitare il filtraggio DNS. Ciascuno è una ragione per abbinarlo ai giusti controlli e documentare tale combinazione nella revisione annuale.

Cosa dovresti fare ora?

1. Mappa ogni rete che gestisci e il rispettivo pubblico: personale, studenti, visitatori e bambini.
2. Redigi una policy per ciascun pubblico, con l'approvazione delle categorie da parte del DSL.
3. Indirizza il DNS DHCP di un sito pilota verso un resolver di protezione e blocca Safe Search.
4. Chiudi le vie di aggiramento riportate nella tabella precedente ed effettua test con dispositivi reali.
5. Concorda il pacchetto di reportistica e il periodo di conservazione dei dati prima di procedere con la distribuzione.
6. Programma fin da ora la revisione annuale, in modo da assicurarne lo svolgimento.

Per scoprire come Purple gestisce il filtraggio, la protezione dalle minacce e il blocco degli annunci pubblicitari sulla tua rete WiFi esistente, inizia da Shield. Per argomenti correlati, consulta Tutte le guide.

Domande frequenti

È necessario acquistare nuovo hardware per aggiungere il filtraggio DNS al WiFi scolastico?

No. Shield funziona modificando i server DNS che la tua rete assegna ai dispositivi, consentendo di mantenere gli access point, i controller e gli switch esistenti. Funziona su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. È possibile aggiungere regole del firewall per bloccare i DNS in uscita e la porta 853 verso altri resolver, ma si tratta di una semplice configurazione su apparecchiature già in tuo possesso.

Il solo filtraggio DNS soddisfa i requisiti KCSIE?

No. Il filtraggio DNS copre la metà relativa al filtraggio delle direttive KCSIE, ma gli standard DfE considerano il monitoraggio come un dovere separato. È necessario assegnare ruoli specifici, effettuare una revisione annuale e definire un approccio di monitoraggio. Verifica che il tuo fornitore di filtraggio sia membro IWF e blocchi l'elenco dei contenuti terroristici della CTIRU, come previsto dalla definizione di filtraggio appropriato dell'UK Safer Internet Centre. Successivamente, documenta l'integrazione tra il filtro, il monitoraggio e i tuoi processi di tutela.

Quanto è difficile migrare da Cisco Umbrella o DNSFilter?

La migrazione stessa consiste in una modifica dei DNS piuttosto che in un progetto hardware. Per prima cosa, ricrea la tua categoria e la policy Safe Search nel nuovo servizio. Esegui il sistema in parallelo in una sede pilota e testa le categorie bloccate, Safe Search e i controlli di bypass con dispositivi reali. Successivamente, aggiorna i server DNS nei tuoi ambiti DHCP sede per sede. Esporta prima i tuoi vecchi report, in modo che la tua revisione annuale conservi la cronologia.

Come funziona la licenza di Shield?

Shield è un componente aggiuntivo di sicurezza per i piani Connect, Capture ed Engage di Purple, insieme a SecurePass e Verify. La licenza riguarda il software e non i dispositivi hardware, quindi non ci sono costi di hardware o cicli di rinnovo. Il preventivo riflette il numero di sedi e reti gestite. Un gruppo scolastico multi-istituto o una rete di biblioteche può includere ogni sede in un unico contratto e gestirla direttamente dalla piattaforma Purple.

Una biblioteca può sbloccare siti per adulti senza indebolire la protezione per i minori?

Sì. L'approccio più lineare consiste nell'utilizzare reti separate: una policy rigida nei luoghi frequentati da bambini e una policy più flessibile per i visitatori adulti. Negli Stati Uniti, la normativa CIPA consente a una biblioteca di disattivare il filtraggio per un adulto che svolge ricerche in buona fede o per altri scopi legittimi. A prescindere dalla giurisdizione, registra ogni richiesta di sblocco e il relativo esito, in modo da poter dimostrare che gli adulti hanno ottenuto l'accesso senza che i minori perdessero la protezione.

I log del filtraggio DNS sono considerati dati personali ai sensi del GDPR?

Sì, quando un log può essere collegato a una persona identificabile. In base al UK GDPR, ciò significa stabilire un periodo di conservazione, limitare l'accesso al solo personale autorizzato e indicare la base giuridica nell'informativa sulla privacy. Su una rete condivisa, i log identificano solitamente un dispositivo anziché una persona, il che riduce il rischio. Purple possiede le certificazioni ISO 27001, GDPR, CCPA e Cyber Essentials, che supportano la tua valutazione d'impatto sulla protezione dei dati.

Abbiamo ancora bisogno di un firewall se utilizziamo il filtraggio DNS?

Sì. Il filtraggio DNS blocca i domini dannosi e malevoli prima che venga aperta una connessione, ma non sostituisce la sicurezza perimetrale. Il tuo firewall controlla comunque gli accessi in entrata e segmenta le reti. Blocca anche il DNS in uscita e la porta 853 verso resolver non autorizzati, chiudendo il bypass del DNS crittografato. I due livelli funzionano al meglio insieme: il DNS decide quali nomi risolvere e il firewall garantisce che ogni ricerca passi attraverso il tuo resolver.