Filtraggio DNS rispetto a Secure Web Gateway: quando serve lo strumento più strutturato

Scegli il filtraggio DNS a livello di risoluzione in conformità al documento RFC 1035 per proteggere i dispositivi non gestiti sui dispositivi WiFi in oltre 80.000 sedi distribuite in 90 Paesi, senza installare alcun hardware. Scegli invece un gateway web sicuro quando occorre ispezionare URL completi, download o upload su dispositivi gestiti che utilizzano piattaforme come Microsoft Entra ID. Il filtraggio DNS blocca le destinazioni malevole prima dell'apertura delle connessioni, mentre i gateway fungono da proxy e decifrano il traffico.

Filtraggio DNS rispetto a gateway web sicuro: la risposta sintetica

La risposta dipende da una singola domanda: è necessario esaminare il contenuto della connessione o soltanto la relativa destinazione?

Il filtraggio DNS interviene a livello del nome di dominio. Rifiuta la risoluzione di una destinazione malevole o non desiderata, impedendo al dispositivo di stabilire la connessione. Un gateway web sicuro (SWG) è un proxy integrato nel percorso del traffico. Può leggere l'URL completo, il file e la pagina, ma soltanto dopo aver decifrato il protocollo TLS.

Sulla rete WiFi per ospiti la questione si risolve autonomamente. Non è possibile installare un certificato radice sul telefono di un ospite. In assenza di tale certificato, un gateway non può decifrare il traffico senza generare errori relativi al certificato stesso. Il filtraggio DNS protegge ogni dispositivo connesso alla rete senza richiedere alcuna installazione. Per questo motivo rappresenta la scelta predefinita per il settore ricettivo, la vendita al dettaglio, gli snodi di trasporto e gli eventi.

Sui laptop aziendali gestiti dal personale che trattano dati regolamentati, il gateway giustifica il proprio costo. È necessario per ispezionare i caricamenti, applicare regole sui percorsi URL o implementare la prevenzione della perdita dei dati (DLP). La tecnologia DLP impedisce la fuoriuscita di dati sensibili dalla rete aziendale.

La maggior parte delle sedi richiede un DNS protettivo su ogni rete e un gateway su una quota minoritaria di dispositivi gestiti, qualora sia effettivamente necessario. Purple Shield fornisce la prima componente. Funziona in modalità autonoma su qualsiasi rete WiFi o in combinazione con Purple Access, applicando una norma specifica per rete e per VLAN. Per un quadro approfondito sui limiti dell'approccio basato su DNS, La invitiamo a consultare la nostra panoramica sui limiti del filtraggio DNS.

Oggetto del confronto e motivi della scelta dei criteri

Abbiamo valutato entrambi gli approcci sulla base di otto criteri. Ciascuno di essi corrisponde a una decisione che un responsabile della sicurezza IT o un responsabile delle operazioni della sede deve assumere in fase di definizione del filtraggio. Le funzionalità di ciascuna opzione sono state individuate a partire dalla documentazione pubblica ufficiale e dall'esperienza diretta di implementazione di entrambe le soluzioni.

La collocazione rappresenta il criterio primario poiché determina tutti gli altri sette. Il filtraggio DNS agisce a livello della risoluzione dei nomi, ovvero l'operazione di ricerca definita nel documento RFC 1035. Ciascun dispositivo interroga un risolutore per ottenere un indirizzo prima di connettersi. Un risolutore DNS protettivo verifica il dominio confrontandolo con le informazioni sulle minacce e con le norme di categoria, fornendo quindi la risposta o rifiutando la richiesta.

Poiché tale verifica viene eseguita prima dello stabilimento di qualsiasi connessione, consente di rilevare ciò che sfugge a un firewall. Le regole del firewall si basano su indirizzi IP e porte. I domini malevoli utilizzano spesso indirizzi cloud condivisi che un firewall non può bloccare in modo sicuro.

Un secure web gateway si posiziona più avanti, all'interno della connessione. Il traffico lo raggiunge tramite un agente endpoint, un file di configurazione automatica del proxy (PAC) o un'appliance inline. Per leggere l'HTTPS, il gateway termina il TLS, ispeziona il contenuto e lo crittografa nuovamente. Tale profondità richiede un certificato radice attendibile su ogni dispositivo ispezionato.

I otto criteri:

• Posizionamento: il punto della connessione in cui il filtro prende la sua decisione.
• Visibilità: ciò che il filtro può vedere, dal nome del dominio al contenuto della pagina.
• Dispositivi non gestiti: se il traffico degli ospiti e BYOD (bring your own device) è coperto.
• Impronta di distribuzione: l'hardware, gli agenti e i certificati richiesti.
• Prestazioni: la latenza e la larghezza di banda aggiunte dal filtro.
• Comportamento in caso di errore: cosa succede quando il servizio non è raggiungibile.
• Resistenza al bypass: la facilità con cui un dispositivo aggira il filtro, ad esempio tramite DNS over TLS (DoT) o DNS over HTTPS (DoH).
• Impronta sulla privacy: la quantità di dati personali elaborati dal filtro.

Nel mercato, il confine non è sempre netto. DNSFilter è un servizio DNS protettivo, della stessa categoria di Shield. Cisco Umbrella vende sicurezza a livello DNS e, nei suoi pacchetti superiori, un secure web gateway completo, coprendo quindi entrambi i lati di questo confronto. Quando si valuta un fornitore, è opportuno verificare quale livello viene fornito da ciascun pacchetto anziché affidarsi solo al nome del prodotto.

Qual è il confronto tra il filtraggio DNS e un secure web gateway?

Due righe meritano una lettura più approfondita. Sulla visibilità, il gateway vince nettamente. Un filtro DNS vede esempio.com ma mai il percorso di un file su quel sito. Spieghiamo il motivo nella guida su perché il filtraggio DNS non può vedere gli URL completi. Sui dispositivi non gestiti, il filtraggio DNS vince a man bassa, perché la copertura degli utenti guest non richiede alcun certificato e alcun agente.

Le righe rimanenti rappresentano compromessi che è possibile gestire. È possibile chiudere il bypass DNS crittografato tramite regole del firewall. La latenza del gateway è tollerabile su un servizio cloud di dimensioni adeguate. Il comportamento in caso di guasto dipende dal prodotto, ed è per questo che dichiariamo chiaramente quello di Shield: è di tipo fail-closed.

Dove vince il filtraggio DNS

Guest WiFi e dispositivi non gestiti

Ogni dispositivo su una rete WiFi utilizza il server DNS fornito dal DHCP. Puntando quel server su un resolver protettivo, ogni telefono, laptop, console di gioco e smart TV viene coperto. Nessuno deve installare nulla. Il Captive Portal, ovvero la pagina di accesso mostrata prima dell'accesso alla rete, rimane invariato. Su larga scala, questo è l'unico modo pratico per filtrare guest, residenti, passeggeri e fan.

Più sedi, nessun nuovo hardware

Il passaggio al filtraggio DNS è una modifica di configurazione, non un progetto complesso. Shield funziona sulla rete WiFi già in uso, inclusi Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet.

Imposti una regola per rete e per VLAN. Una rete guest per famiglie e una rete per il personale nella stessa sede possono quindi applicare regole diverse. La rete del personale può assegnare le VLAN in base al ruolo tramite IEEE 802.1X, lo standard di autenticazione di rete basato su porte. In tal caso, la regola DNS specifica per ruolo viene applicata senza proxy.

Blocco delle minacce tempestivo

Il DNS individua l'intenzione prima che il traffico inizi a fluire. Un dispositivo colpito da phishing deve cercare un dominio prima di potersi connettere. Lo stesso vale per un dispositivo infetto che contatta un server di comando e controllo. Shield segnala le minacce in una fase iniziale del loro ciclo di vita, prima che venga stabilita una connessione web. Questo margine di tempo può determinare se un dominio di phishing viene bloccato prima del primo clic o dopo.

Reti più leggere

Il blocco degli annunci pubblicitari avviene nello stesso livello. Se attivato, l'ad blocking riduce l'uso della banda e abbassa il volume delle query DNS. In una rete di una struttura affollata con backhaul limitato, tale capacità viene recuperata senza ulteriori costi.

Ripristino in sicurezza in caso di guasto

Shield adotta una modalità di guasto chiusa (fail closed), per cui un'interruzione non lascia mai una rete priva di filtri. Questo è fondamentale sulle reti guest, dove si corre il rischio reputazionale legato a qualsiasi contenuto caricato. Abbiamo illustrato i pro e contro nell'articolo DNS filtering fail open vs fail closed.

Impatto ridotto sulla privacy

Un filtro DNS elabora i nomi di dominio, non il contenuto delle pagine. Secondo il GDPR, si tratta di un insieme di dati personali più ristretto rispetto alle sessioni di navigazione decrittografate. Di conseguenza, i registri delle attività di trattamento rimangono più semplici.

Dove vince un gateway web sicuro

Occorre valutare con precisione i punti di forza del gateway. Se si presuppone che il filtro DNS li copra interamente, il programma di sicurezza presenterà delle lacune concrete.

Controllo completo di URL e percorsi

Alcune regole operano a un livello inferiore rispetto al dominio. Potresti voler autorizzare un servizio di archiviazione cloud ma bloccare una singola cartella condivisa. Oppure consentire un sito di notizie bloccando però la sezione dei commenti. Solo un proxy in grado di leggere l'URL completo può applicare regole di questo tipo. Le piattaforme condivise rappresentano il caso più complesso, poiché un filtro DNS deve autorizzare o bloccare l'intero dominio.

Ispezione dei file e dei contenuti

Un gateway può scansionare i download alla ricerca di malware, bloccare determinati tipi di file ed eseguire in sandbox gli eseguibili sconosciuti. Il filtro DNS blocca le connessioni ai domini noti come dannosi. Un file malevolo ospitato su un dominio attendibile riuscirebbe comunque a passare.

Prevenzione della perdita di dati

Il personale potrebbe gestire dati relativi alle carte di pagamento rientranti nell'ambito PCI DSS o cartelle cliniche. In tal caso, potrebbe essere necessario ispezionare i caricamenti alla ricerca di contenuti sensibili. Ciò richiede un traffico decrittografato e un gateway o uno strumento DLP dedicato.

Criteri per singolo utente all'esterno della rete

Un agente gateway applica i criteri in base all'identità nominativa, sincronizzata da Microsoft Entra ID, Okta o Google Workspace. Tale criterio segue un laptop aziendale gestito anche sulla rete a banda larga domestica o sul WiFi dell'hotel. I criteri di Shield sono impostati per rete e VLAN, adattandosi a strutture e sedi fisse. Per il personale da remoto su dispositivi gestiti potrebbe essere necessaria l'applicazione di criteri per singolo utente ovunque le persone si colleghino.

Controlli sulle applicazioni

Molti gateway decodificano il traffico per applicazioni specifiche. Ad esempio, possono consentire al personale di leggere un servizio di condivisione file ma bloccarne i caricamenti. Il filtraggio DNS può autorizzare o bloccare i domini di un'applicazione, ma non le singole azioni all'interno dell'applicazione stessa.

Se stai valutando questi aspetti rispetto al tuo registro dei rischi, leggi il filtraggio DNS è sufficiente? per scoprire i controlli che affiancano il DNS protettivo.

Quali sono i costi di gestione di ciascuna soluzione?

I due approcci hanno modelli di prezzo differenti, pertanto è opportuno confrontare le rispettive strutture di costo anziché le cifre principali. Non forniamo i prezzi dei concorrenti. Si prega di verificare i termini attuali con ciascun fornitore.

Il costo nascosto di un gateway è la gestione dei certificati e delle eccezioni. Le app che utilizzano il certificate pinning smettono di funzionare durante l'ispezione TLS, quindi ognuna di esse richiede un'eccezione. La maggior parte delle distribuzioni esenta i siti bancari e sanitari per motivi di privacy. Ogni esenzione diventa una regola che qualcuno deve mantenere. Anche gli agenti devono essere aggiornati su tutto il parco dispositivi. Niente di tutto questo è un difetto. È il prezzo da pagare per analizzare l'interno del traffico.

Il costo operativo del filtraggio DNS risiede nel mantenimento delle policy e nel controllo dei bypass. Si esaminano le decisioni sulle categorie e si gestiscono le richieste di autorizzazione. È inoltre necessario mantenere aggiornate le regole del firewall per il DNS crittografato man mano che compaiono nuovi resolver pubblici.

Cosa comporta il passaggio tra il filtraggio DNS e un gateway?

Da un proxy al filtraggio DNS sulle reti guest

Questo è il passaggio più comune. Spesso i team scoprono che un proxy su WiFi guest filtra ben poco oltre ai nomi host, poiché non può decrittografare il traffico degli ospiti. I passaggi sono:

1. Esporta le categorie di proxy attuali e i tuoi elenchi di autorizzazione e blocco.
2. Mappali sulle categorie DNS. Le regole basate sul percorso URL non hanno un equivalente DNS, quindi decidi per ciascuna regola se consentire o bloccare l'intero dominio.
3. Punta il server DNS nello scope DHCP di ciascuna rete al resolver di protezione.
4. Blocca il DNS in uscita verso altri resolver, il DoT sulla porta 853 e gli endpoint DoH noti.
5. Esegui un test da un dispositivo guest reale, quindi rimuovi il set di regole proxy per quella rete.

I passaggi di configurazione di Shield sono descritti in come funziona Shield. Gli standard per il DNS crittografato sono RFC 7858 per il DoT e RFC 8484 per il DoH.

Aggiunta di un gateway per i dispositivi gestiti

Questo passaggio è più complesso e dovrebbe essere limitato ai dispositivi che ne hanno effettivamente bisogno. Distribuisci il certificato radice tramite la tua piattaforma di Mobile Device Management (MDM). Distribuisci l'agente o il file PAC, quindi crea eccezioni per le app con certificate pinning e per le categorie sensibili alla privacy. Completa una valutazione d'impatto sulla protezione dei dati (DPIA) prima di avviare l'ispezione. Mantieni attivo Shield al livello sottostante, poiché continua a coprire tutti i dispositivi non gestiti dal gateway.

Esecuzione di entrambi

La combinazione dei due livelli rappresenta la configurazione più solida per le sedi con traffico misto. Shield blocca i domini dannosi noti al momento della risoluzione, sia sulle reti guest che su quelle del personale. Il gateway ispeziona quindi in profondità il traffico gestito. Poiché il DNS rimuove prima le destinazioni malevole, una quantità inferiore di traffico ostile raggiunge il proxy. Allinea le policy delle categorie dei due sistemi, in modo che un dominio bloccato su un livello non sia consentito sull'altro.

Come scegliere tra filtraggio DNS e un secure web gateway

Utilizza questa regola decisionale. Se non possiedi i dispositivi, usa il filtraggio DNS. Se possiedi i dispositivi e devi ispezionare il traffico, aggiungi un gateway solo su quei dispositivi. In tutti gli altri casi, il DNS protettivo è lo strumento con il giusto ridimensionamento.

Il tuo prossimo passo è elencare le tue reti e VLAN, e contrassegnare quelle che ospitano dispositivi non gestiti. Quelle reti otterranno subito il DNS protettivo. Consulta poi come funziona Shield per l'implementazione. Per i controlli più ampi relativi a identità, crittografia e segmentazione, leggi la nostra guida alla sicurezza WiFi enterprise.

Domande frequenti

Il filtraggio DNS è più economico da gestire rispetto a un secure web gateway?

Di solito sì, perché il filtraggio DNS non richiede hardware, agenti endpoint né gestione dei certificati. Un gateway aggiunge licenze per utente o dispositivo, manutenzione degli agenti, rinnovo dei certificati radice e regole di eccezione per le app che smettono di funzionare sotto ispezione. Il costo operativo del filtraggio DNS è dato dalla manutenzione delle policy e dalle regole del firewall per il DNS crittografato. Confronta il costo operativo totale piuttosto che le singole voci di licenza, e verifica le condizioni attuali con ciascun fornitore.

Purple Shield funziona con l'hardware WiFi che già possiedo?

Sì. Shield funziona a livello DNS, quindi è compatibile con qualsiasi WiFi, tra cui Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Basta puntare il DNS di ciascuna rete verso Shield e impostare una policy per rete e VLAN. Funziona in modo autonomo o insieme a Purple Access, senza nuovo hardware in sede.

Il filtraggio DNS può sostituire un secure web gateway?

Può farlo sulle reti per ospiti e strutture, ma non dove è necessario ispezionare il traffico. Il filtraggio DNS blocca i domini malevoli e indesiderati prima dell'apertura di qualsiasi connessione, coprendo la maggior parte delle esigenze di minaccia e contenuto per i visitatori. Non può applicare regole sui percorsi URL, analizzare i file su domini attendibili o ispezionare i caricamenti per la prevenzione della perdita di dati. Mantieni un gateway per i dispositivi gestiti che richiedono tali controlli.

È possibile eseguire insieme il filtraggio DNS e un secure web gateway?

Sì, e nei siti misti questa rappresenta la configurazione più solida. Shield filtra ogni dispositivo alla risoluzione DNS, compresi i dispositivi degli ospiti che un gateway non può ispezionare. Il gateway ispeziona quindi in profondità i dispositivi gestiti dal personale. Poiché il DNS blocca prima i domini notoriamente dannosi, al proxy arriva meno traffico malevolo. Mantenere allineate le due politiche di categoria in modo che un dominio bloccato a un livello non sia consentito all'altro.

Un secure web gateway funziona sul WiFi?

Solo parzialmente. Senza un certificato radice attendibile sul dispositivo, un gateway non può decrittografare l'HTTPS senza causare errori di certificato. Non è possibile installare certificati sui telefoni degli ospiti. Un gateway può comunque filtrare in base al nome host inviato nell'handshake TLS, il che è simile a ciò che il filtraggio DNS fa già con un'infrastruttura minore. Per il WiFi, il DNS protettivo è la scelta più pratica.

Cosa succede al filtraggio se il servizio DNS si interrompe?

Con Shield, il filtraggio rimane attivo. Shield si arresta in modalità sicura (fail-closed), in modo che un'interruzione non lasci mai una rete priva di filtraggio. I servizi che si arrestano in modalità aperta (fail-open) reindirizzano i dispositivi a un resolver non filtrato per mantenere il flusso del traffico, lasciando la rete esposta per tutta la durata dell'interruzione. Chieda a ogni fornitore di dichiarare per iscritto il proprio comportamento in caso di guasto e lo testi prima della messa in funzione.

L'ispezione TLS è compatibile con GDPR?

Può esserlo, ma richiede maggiore governance rispetto al filtraggio DNS. La decrittografia del traffico del personale comporta il trattamento del contenuto delle loro comunicazioni. È quindi necessaria una base giuridica, una valutazione d'impatto sulla protezione dei dati e un'informativa chiara al personale. La maggior parte delle distribuzioni esenta inoltre i siti bancari e sanitari. Il filtraggio DNS elabora solo i nomi di dominio, un'impronta più ridotta, più semplice da giustificare e documentare.

Quanto sforzo richiede il passaggio da un proxy al filtraggio DNS?

Meno di quanto la maggior parte dei team si aspetti, poiché il passaggio definitivo consiste in una modifica del DNS per ciascuna rete. Il lavoro si articola in tre parti: mappare le categorie del proxy alle categorie DNS, decidere cosa fare con le regole sul percorso URL che non hanno un equivalente DNS e bloccare il DNS crittografato sul firewall. Testare ciascuna rete da un dispositivo reale prima di disattivare il vecchio set di regole.