Filtragem de DNS para escolas e bibliotecas

O filtro DNS para escolas e bibliotecas bloqueia sites prejudiciais e maliciosos na consulta DNS, antes que qualquer conexão seja aberta. Ele cobre todos os dispositivos na sua rede WiFi sem a necessidade de agentes ou novos hardwares. Para resistir a auditorias rigorosas, ele também deve impedir a negação por DNS criptografado, bloquear o Safe Search no Google, Bing e YouTube, e gerar relatórios que seu responsável pela proteção possa comprovar.

O que é o filtro DNS para escolas e bibliotecas?

Toda conexão web começa com uma consulta DNS. Um dispositivo pede a um resolvedor para converter um nome em um endereço IP. O filtro DNS adiciona uma verificação de política a essa resposta. Se o domínio estiver em uma categoria bloqueada ou apresentar um sinal de ameaça, o resolvedor retém o endereço real. O navegador nunca abre uma conexão, portanto, o conteúdo, malware ou anúncio nunca é carregado.

Um resolvedor que faz isso é chamado de DNS de proteção. Em uma rede escolar ou de biblioteca, ele realiza três tarefas ao mesmo tempo:

• Aplica sua política de conteúdo.
• Bloqueia domínios de phishing e malware.
• Mantém os mecanismos de busca travados em seus modos seguros.

Onde ocorre a filtragem e o que um firewall deixa passar?

A filtragem ocorre na consulta, antes que o dispositivo tenha um endereço para se conectar. Um firewall funciona mais tarde, na própria conexão. Sem descriptografia, ele enxerga um endereço IP, uma porta e pouco mais.

A maior parte do tráfego web agora roda sobre HTTPS na porta 443. Grande parte dele vai para redes de entrega de conteúdo, que hospedam milhares de sites não relacionados sob endereços compartilhados. Se você bloquear um desses IPs, bloqueará sites legítimos junto com ele. Se você o permitir, o site prejudicial passará.

Um firewall pode inspecionar HTTPS, mas apenas depois de instalar um certificado de confiança em cada dispositivo. Você pode fazer isso em laptops da própria escola. No entanto, não pode fazer isso no telefone de um visitante em uma biblioteca ou no tablet próprio de um aluno no WiFi. O filtro DNS não precisa de nada no dispositivo. Ele se aplica a qualquer dispositivo que obtenha suas configurações de DNS da sua rede.

Por que um filtro de conteúdo DNS escolar é importante na sua rede?

Escolas: KCSIE e os padrões do DfE

Na Inglaterra, o Keeping Children Safe in Education (KCSIE) é a orientação de proteção legal do Department for Education (DfE). Ele exige que os órgãos governantes e proprietários tenham sistemas adequados de filtragem e monitoramento e revisem a eficácia do seu funcionamento. Ele atribui ao responsável designado pela proteção (DSL) a responsabilidade principal pela segurança online, incluindo a compreensão dos sistemas de filtragem e monitoramento.

Os padrões de filtragem e monitoramento do DfE para escolas e faculdades estabelecem o que isso significa na prática:

• Atribuir funções claras.
• Revisar sua provisão pelo menos uma vez ao ano.
• Bloquear conteúdo prejudicial e inadequado sem afetar de forma irrazoável o ensino e a aprendizagem.

O KCSIE orienta as escolas para a definição de filtragem apropriada do UK Safer Internet Centre. Essa definição exige que seu provedor seja membro da Internet Watch Foundation (IWF) e bloqueie a lista da IWF de conteúdo de abuso sexual infantil. Também exige que o provedor bloqueie a lista avaliada pela polícia de conteúdo terrorista ilegal da Counter Terrorism Internet Referral Unit (CTIRU). Faça ambas as perguntas a qualquer fornecedor em sua lista de finalistas.

As escolas dos EUA enfrentam a Children's Internet Protection Act (CIPA). Cobrimos as etapas de certificação em nosso guia separado para filtragem de WiFi em conformidade com a CIPA. Para a parte de políticas, consulte Filtragem web para escolas: Políticas que funcionam.

As bibliotecas precisam de filtragem de conteúdo?

Na prática, sim. O dever legal depende de onde você opera e de como é financiado.

Nos EUA, a CIPA se aplica a bibliotecas públicas que usam descontos do E-rate para acesso à internet. Essas bibliotecas devem operar uma medida de proteção tecnológica que bloqueie imagens obscenas, material de abuso sexual infantil ou prejudiciais a menores. A Federal Communications Commission (FCC) permite que uma biblioteca desative o filtro para um adulto realizando pesquisas de boa-fé ou para outro fim legítimo.

No Reino Unido, nenhuma legislação exige que uma biblioteca pública faça filtragem. Muitas redes de bibliotecas filtram mesmo assim, e muitas buscam a acreditação Friendly WiFi. O Friendly WiFi é um programa de certificação iniciado pelo governo para WiFi público. Seu padrão mínimo exige que você filtre pornografia e conteúdo de abuso sexual infantil listado pela IWF onde quer que crianças possam estar presentes.

As bibliotecas têm um trabalho mais difícil do que as escolas. Uma única rede atende a uma criança no clube de lição de casa e a um adulto pesquisando uma condição médica. Sua política precisa proteger a criança sem bloquear excessivamente o adulto. Dividir esses públicos em redes separadas costuma ser a solução mais limpa. Como Configurar a Segmentação de Rede para Visitantes e Funcionários explica essa abordagem passo a passo.

Como funciona a filtragem DNS para escolas e bibliotecas?

Você altera apenas uma configuração: os servidores DNS que seus escopos DHCP fornecem aos dispositivos. Pontos de acesso, controladores e switches permanecem onde estão. Cada dispositivo envia suas consultas ao resolvedor de proteção, e o resolvedor aplica sua política.

Categorias de conteúdo e proteção contra ameaças

O resolvedor verifica cada domínio em relação a dois conjuntos de sinais.

• Categorias de conteúdo, como conteúdo adulto, jogos de azar, armas ou proxies e anonimizadores. Você escolhe quais bloquear para cada público.
• Inteligência contra ameaças, cobrindo phishing, malware, comando e controle e domínios recém-registrados usados em ataques.

A velocidade é essencial no combate às ameaças, pois os invasores registram domínios e os utilizam em poucas horas. O Shield sinaliza essas ameaças assim que os domínios maliciosos são identificados. Para uma escola, essa é a diferença entre um funcionário clicar em um link de phishing e o resolvedor se recusar a responder.

O que o bloqueio de anúncios faz em redes WiFi compartilhadas e movimentadas

Bibliotecas e escolas frequentemente operam redes WiFi densas em conexões com largura de banda limitada. Bloquear domínios de anúncios e analíticos na camada de DNS remove o tráfego desnecessário antes que ele atinja sua conexão. A filtragem dessas solicitações resulta em:

• carregamento de páginas mais rápido para os usuários
• redução no uso geral de dados
• menos consultas de DNS na rede
• menores volumes gerais de tráfego web

Em uma conexão de biblioteca compartilhada por computadores públicos e telefones de visitantes, essa folga é redirecionada para tarefas escolares, candidaturas a empregos e videoaulas.

Como aplicar a Pesquisa Segura em uma rede escolar?

O bloqueio por categoria interrompe sites inteiros. Mecanismos de busca são mais difíceis, pois Google, Bing e YouTube são essenciais para o aprendizado, mas retornam resultados explícitos em seus modos padrão. Cada fornecedor documenta um método de DNS que força seu modo seguro em toda a rede:

• O Google disponibiliza o forcesafesearch.google.com. Quando seu resolvedor responde às pesquisas do Google com esse endereço, o SafeSearch é ativado obrigatoriamente e a pessoa que pesquisa não pode desativá-lo.
• O Bing disponibiliza o strict.bing.com, que aplica o SafeSearch estrito da mesma forma.
• O YouTube disponibiliza o restrict.youtube.com e o restrictmoderate.youtube.com, que forçam o Modo Restrito no nível estrito ou moderado.

Um serviço de DNS de proteção cuida desse mapeamento para você, permitindo que você escolha uma configuração em vez de editar registros manualmente. A restrição moderada do YouTube geralmente atende às escolas de segundo grau, pois o modo estrito oculta muitos vídeos educativos legítimos. Faça testes com conteúdos de aulas reais antes de implantar em todos os locais.

Como os alunos burlam a filtragem do WiFi da escola com DoH?

O DNS criptografado é a maneira mais comum de contornar um filtro de DNS. O DNS sobre HTTPS (DoH, definido na RFC 8484) envia consultas dentro do tráfego HTTPS comum. O DNS sobre TLS (DoT, RFC 7858) as criptografa na porta 853. Qualquer um dos dois pode levar as consultas de um dispositivo para além do seu resolvedor, direcionando-as a um resolvedor público que não aplica políticas.

Os alunos raramente precisam configurar isso sozinhos, pois navegadores e sistemas operacionais já vêm com opções de DNS criptografado. A tabela mapeia cada rota e a maneira documentada de bloqueá-la.

Rota para burlar	Como contorna seu filtro	Como bloquear
DoH padrão do Firefox	O Firefox pode enviar consultas para um resolvedor DoH público	Não retorne resposta para o domínio canário da Mozilla, use-application-dns.net, o que instrui o Firefox a continuar usando o resolvedor da sua rede
DNS seguro do Chrome e Edge	Faz o upgrade para DoH quando o resolvedor configurado possui um equivalente DoH conhecido	Defina a política DnsOverHttpsMode como desativada em dispositivos gerenciados; em dispositivos não gerenciados, o upgrade só é executado no provedor do seu próprio resolvedor
iCloud Private Relay	Retransmite o tráfego do Safari e DNS por meio dos servidores da Apple	Retorne uma resposta negativa para mask.icloud.com e mask-h2.icloud.com, conforme documentado pela Apple, e os dispositivos exibirão o Private Relay como indisponível
DNS Privado do Android (DoT)	Envia consultas sobre TLS na porta 853	Bloqueie a porta de saída 853 em seu firewall; o modo automático usará o seu resolvedor como alternativa
Resolvedores públicos fixados no código	O dispositivo ou aplicativo ignora o DHCP e consulta um resolvedor público na porta 53	Bloqueie a porta de saída 53 para qualquer destino, exceto seu resolvedor de proteção
Aplicativos de VPN e proxy	Criam um túnel para todo o tráfego fora da sua rede	Bloqueie a categoria de proxies e anonimizadores, e bloqueie aplicativos de VPN por meio de política de MDM em dispositivos gerenciados

A solução combina regras de DNS, regras de firewall e políticas de dispositivos, pois nenhuma camada isolada fecha todas as rotas. Nosso guia separado sobre o bloqueio de DNS criptografado e burla de DoH aborda cada controle em detalhes.

Qual relatório as escolas e bibliotecas precisam apresentar como evidência?

A filtragem que você não consegue comprovar não satisfará um conselho gestor, uma inspeção do Ofsted ou uma auditoria do CIPA. Os padrões do DfE exigem uma revisão anual documentada. Nos EUA, o CIPA exige uma política de segurança na internet adotada após aviso público e uma audiência pública. Ambos dependem de registros.

Pergunte a qualquer provedor se ele pode exportar o seguinte:

• Consultas bloqueadas por categoria, para que o DSL possa ver quais ameaças o filtro realmente impediu.
• Resultados por local e por rede, para que um conselho escolar possa comparar escolas e um serviço de biblioteca possa comparar filiais.
• Tendências ao longo do tempo, para mostrar o efeito das mudanças de política entre as revisões.
• Sinais de burla, como consultas para domínios resolvedores de DoH, o domínio canário do Firefox ou domínios do Private Relay.
• Status do Safe Search, com evidências de que o bloqueio foi aplicado em todas as redes.
• Um registro de alterações de política, documentando quem alterou qual configuração e quando.
• Um registro de sobrebloqueio (overblocking), registrando quais sites legítimos a equipe pediu para desbloquear e a rapidez com que você agiu.

O registro de sobrebloqueio importa mais do que a maioria das equipes espera. Os padrões do DfE alertam explicitamente contra a filtragem que afeta o ensino de forma irrazoável. Um registro de solicitações de desbloqueio e tempos de resposta mostra que você equilibrou a proteção com o aprendizado.

Mantenha a proteção de dados em vista. Sob o UK GDPR, os logs de DNS que podem ser vinculados a uma pessoa identificável são dados pessoais. Defina um período de retenção, restrinja o acesso à equipe designada e registre a base legal em seu aviso de privacidade. A Purple possui as certificações ISO 27001, GDPR, CCPA e Cyber Essentials, que você pode citar em sua avaliação de impacto sobre a proteção de dados.

Qual é o papel do filtro de DNS em relação ao que você já executa?

O DNS de proteção é uma camada sobre a sua rede existente, não um substituto para ela. A Purple é independente de hardware. O Shield funciona no WiFi da Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, pois ele altera o DNS que sua rede fornece, não os pontos de acesso.

A estrutura de tecnologia habitual é assim:

• Firewall: bloqueia as portas de saída 53 e 853 para resolvedores não aprovados e continua executando as tarefas de perímetro que o DNS não consegue.
• Segmentação de rede: redes separadas ou VLANs (LANs virtuais, que dividem uma rede física em redes lógicas isoladas) para funcionários, alunos, visitantes e áreas infantis, cada uma com sua própria política.
• Gerenciamento de dispositivos móveis (MDM): aplica políticas de navegador e bloqueia aplicativos de VPN em dispositivos da escola, inclusive fora da instituição.
• Captive portal: a página de logon que os visitantes veem antes de ficarem online. No Guest WiFi, é onde você apresenta sua política de uso aceitável e coleta o consentimento.

Comparativo entre Shield, DNSFilter e Cisco Umbrella

Todos os três realizam a filtragem na camada de DNS e todos os três podem impor o Safe Search. A diferença está em qual finalidade foram construídos.

	Purple Shield	DNSFilter	Cisco Umbrella
Onde ocorre a filtragem	Consulta DNS	Consulta DNS	Consulta DNS, com gateway web seguro opcional
Novo hardware necessário	Nenhum: altere o DNS que seu WiFi distribui	Nenhum: redirecionamento de DNS ou agente itinerante	Nenhum para a camada DNS; dispositivo virtual opcional para atribuição de IP interno
Imposição de Safe Search	Google, Bing e YouTube	Google, Bing e YouTube	Google, Bing e YouTube
Dispositivos fora da rede	Cobre dispositivos no WiFi do seu local; use MDM para dispositivos levados para casa	Agente cliente itinerante	Módulo itinerante no Cisco Secure Client
Gerenciado a partir de	Plataforma Purple, juntamente com o Guest WiFi e Staff WiFi	Painel do DNSFilter	Painel do Cisco Umbrella, dentro do Cisco Secure Access
Melhor adequação	Locais que já utilizam ou estão migrando para o Purple WiFi	MSPs e frotas de endpoints baseadas em agentes	Organizações padronizadas com a segurança Cisco

Escolha o Cisco Umbrella se sua instituição ou conselho já executa o Cisco Secure Access e deseja um único fornecedor de segurança. Escolha o DNSFilter se você precisar de um agente em cada laptop levado para casa e gerenciar vários clientes como um MSP. Escolha o Shield se sua prioridade for o próprio WiFi do local: filtragem, proteção contra ameaças e bloqueio de anúncios na rede à qual seus alunos e visitantes se conectam, gerido junto com o seu WiFi. Para uma visão mais ampla do mercado, leia The best protective DNS for guest and public WiFi.

Como isso funciona na prática?

Os dois cenários abaixo são composições ilustrativas, baseadas nos padrões de implantação descritos acima.

Um serviço de biblioteca pública trabalhando para obter a certificação Friendly WiFi

A situação. Um serviço de biblioteca executa WiFi público em várias filiais em uma única rede compartilhada. Clubes de lição de casa para crianças e visitantes adultos usam o mesmo SSID. Seu filtro antigo rodava em um firewall em cada filial, e a maioria das filiais permitia resultados explícitos de imagens no Google.

O que foi feito. O líder de TI dividiu cada filial em duas redes: uma rede infantil com uma política rigorosa e uma rede adulta com uma política mais branda. Ambas apontavam para um resolvedor de DNS protetivo que bloqueia pornografia e conteúdo listado pela IWF, atendendo aos requisitos mínimos do Friendly WiFi. O Safe Search foi ativado obrigatoriamente no Google e Bing para ambas as redes. O Modo Restrito do YouTube foi configurado como estrito para crianças e moderado para adultos. O firewall bloqueou o DNS de saída para qualquer resolvedor, exceto o protetivo.

O resultado mensurável. A equipe testou uma lista fixa de categorias e termos de pesquisa em ambas as redes de todas as filiais. Todas as filiais foram aprovadas e os resultados foram incluídos no requerimento do Friendly WiFi como evidência. Os funcionários das filiais agora lidam com solicitações de desbloqueio de conteúdo adulto a partir de um processo de lista de permissões por escrito, e o serviço registra cada solicitação e tempo de resolução.

Um grupo de escolas (MAT) fechando a lacuna do DoH

A situação. Um grupo de escolas administra faculdades com WiFi para dispositivos pessoais dos alunos do ensino médio. Um DSL notou alunos acessando sites de jogos e redes sociais bloqueados em seus próprios celulares. Os laptops pertencentes à escola não apresentavam esse problema.

O que foi feito. O gerente de rede revisou as rotas de desvio na tabela acima. O resolvedor agora não retorna resposta para o domínio canário do Firefox e os domínios do iCloud Private Relay. O firewall de cada escola bloqueia a porta de saída 853 e a porta de saída 53 para resolvedores públicos. Nos laptops da escola, o MDM desativa o DNS seguro do Chrome e do Edge. A categoria de proxies e anonimizadores é bloqueada na rede do ensino médio.

O resultado mensurável. Celulares de teste executando Firefox, Safari com Private Relay e Android Private DNS retornaram ao resolvedor da escola. As categorias bloqueadas foram então aplicadas como planejado. As consultas de sinal de desvio agora aparecem no relatório mensal que o DSL revisa, alimentando a revisão anual de filtragem do grupo de escolas sob os padrões do DfE. Para infraestruturas desse porte, a filtragem de DNS para MSPs e redes multilocal cobre o gerenciamento central de políticas entre os locais.

Quais são os limites da filtragem de DNS que você deve conhecer?

Seja claro com seus diretores sobre o que a filtragem de DNS não pode fazer.

• Funciona em domínios, não em páginas. Não é possível bloquear uma página prejudicial em um domínio permitido. O Modo Restrito do YouTube e o Safe Search reduzem essa lacuna, mas não a fecham.
• É filtragem, não monitoramento. Os padrões do DfE tratam o monitoramento como uma responsabilidade separada. Em uma rede compartilhada, os logs de DNS mostram um dispositivo, não um aluno nomeado. A atribuição por pessoa exige autenticação individual, como 802.1X (controle de acesso à rede baseado em porta usando credenciais individuais) ou iPSK (uma chave pré-compartilhada exclusiva por pessoa). As Redes Baseadas em Identidade da Purple oferecem ambos.
• Para no limite da sua rede. Dispositivos levados para casa conectados à banda larga residencial precisam de MDM ou de um agente.
• O desvio intencional exige várias camadas. Uma VPN que ainda não foi categorizada ainda pode criar um túnel para fora até que seu firewall ou MDM a identifique.

Nenhuma dessas limitações é motivo para ignorar a filtragem de DNS. Cada uma delas é uma razão para combiná-la com os controles adequados e documentar essa combinação em sua revisão anual.

O que você deve fazer a seguir?

1. Mapeie todas as redes que você gerencia e o público em cada uma: funcionários, alunos, visitantes e crianças.
2. Escreva uma política por público, com a aprovação das categorias pelo DSL.
3. Aponte o DNS DHCP de um site piloto para um resolvedor de proteção e ative o Safe Search.
4. Feche as rotas de desvio na tabela acima e teste com dispositivos reais.
5. Concorde com seu pacote de relatórios e período de retenção antes do lançamento.
6. Agende a revisão anual agora, para que ela aconteça.

Para ver como o Purple lida com filtragem, proteção contra ameaças e bloqueio de anúncios em seu WiFi existente, comece com o Shield. Para tópicos relacionados, navegue por Todos os guias.

Perguntas frequentes

Precisamos de novos hardwares para adicionar filtragem DNS ao WiFi da escola?

Não. O Shield funciona alterando os servidores DNS que sua rede fornece aos dispositivos, portanto seus pontos de acesso, controladores e switches permanecem no lugar. Ele é executado em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Você pode adicionar regras de firewall para bloquear DNS de saída e a porta 853 para outros resolvedores, mas essa é uma configuração em equipamentos que você já possui.

A filtragem DNS por si só atende aos requisitos do KCSIE?

Não. A filtragem DNS cobre a metade de filtragem do KCSIE, mas os padrões do DfE tratam o monitoramento como uma função separada. Você também precisa de funções atribuídas, uma revisão anual e uma abordagem de monitoramento. Verifique se o seu provedor de filtragem é membro da IWF e bloqueia a lista de conteúdos terroristas da CTIRU, conforme esperado pela definição de filtragem apropriada do UK Safer Internet Centre. Em seguida, documente como o filtro, o monitoramento e seus processos de proteção se encaixam.

Qual é a dificuldade de migrar do Cisco Umbrella ou do DNSFilter?

A migração em si é uma alteração de DNS, e não um projeto de hardware. Primeiro, recrie sua política de categorias e do Safe Search no novo serviço. Execute-o em paralelo em um local piloto e teste as categorias bloqueadas, o Safe Search e os controles de desvio com dispositivos reais. Em seguida, atualize os servidores DNS em seus escopos DHCP local por local. Exporte seus relatórios antigos primeiro, para que sua revisão anual mantenha o histórico.

Como o Shield é licenciado?

O Shield é um complemento de segurança para os planos Purple Connect, Purple Capture e Purple Engage, juntamente com o SecurePass e o Verify. Você licencia o software, não os dispositivos, portanto não há custo de hardware ou ciclo de atualização. Sua cotação reflete o número de locais e redes que você opera. Um grupo de escolas ou rede de bibliotecas pode colocar todos os locais sob um único contrato e gerenciá-los a partir da plataforma Purple.

Uma biblioteca pode desbloquear sites para adultos sem enfraquecer a proteção para crianças?

Sim. A abordagem mais limpa é usar redes separadas: uma política rigorosa onde há crianças e uma política mais flexível para visitantes adultos. Nos EUA, a CIPA permite que uma biblioteca desative a filtragem para um adulto que esteja fazendo pesquisas de boa-fé ou para outro propósito legítimo. Seja qual for sua jurisdição, registre cada solicitação de desbloqueio e seu resultado, para que você possa comprovar que os adultos obtiveram acesso sem que as crianças perdessem a proteção.

Os logs de filtragem DNS são dados pessoais de acordo com o GDPR?

Sim, quando um log pode ser vinculado a uma pessoa identificável. Sob o UK GDPR, isso significa definir um período de retenção, limitar o acesso a funcionários nomeados e declarar sua base legal em seu aviso de privacidade. Em uma rede compartilhada, os logs geralmente identificam um dispositivo em vez de uma pessoa, o que reduz o risco. A Purple possui as certificações ISO 27001, GDPR, CCPA e Cyber Essentials, o que dá suporte à sua avaliação de impacto sobre a proteção de dados.

Ainda precisamos de um firewall se executarmos a filtragem de DNS?

Sim. A filtragem de DNS bloqueia domínios prejudiciais e maliciosos antes que uma conexão seja aberta, mas não substitui a segurança de perímetro. Seu firewall ainda controla o acesso de entrada e segmenta as redes. Ele também bloqueia o DNS de saída e a porta 853 para resolutores não aprovados, o que fecha o bypass de DNS criptografado. As duas camadas funcionam melhor juntas: o DNS decide quais nomes resolver e o firewall garante que cada consulta passe pelo seu resolutor.