Filtragem de DNS vs. gateway web seguro: quando você precisa da ferramenta mais robusta

Escolha a filtragem de DNS na resolução sob a RFC 1035 ao proteger dispositivos WiFi não gerenciados em mais de 80.000 locais em 90 países sem instalar hardware. Escolha um gateway web seguro ao inspecionar URLs completas, downloads ou uploads em dispositivos gerenciados usando plataformas como Microsoft Entra ID. A filtragem de DNS bloqueia destinos maliciosos antes que as conexões sejam abertas, enquanto os gateways fazem o proxy e descriptografam o tráfego.

Filtragem de DNS vs gateway web seguro: a resposta rápida

A resposta depende de uma pergunta: você precisa ver o que há dentro da conexão ou apenas para onde ela está indo?

A filtragem de DNS decide no nome do domínio. Ela se recusa a resolver um destino malicioso ou indesejado, para que o dispositivo nunca se conecte. Um gateway web seguro (SWG) é um proxy que fica no caminho do tráfego. Ele pode ler a URL completa, o arquivo e a página, mas apenas após descriptografar o TLS.

No WiFi para visitantes, a questão se resolve sozinha. Você não pode instalar um certificado raiz no telefone de um visitante. Sem esse certificado, um gateway não pode descriptografar o tráfego sem causar erros de certificado. A filtragem de DNS protege todos os dispositivos da rede sem instalar nada. É por isso que ela é o padrão para o setor de hospitalidade, varejo, centros de transporte e eventos.

Em laptops gerenciados da equipe que lidam com dados regulamentados, o gateway justifica seu custo. Você precisa dele para inspecionar uploads, aplicar regras em caminhos de URL ou aplicar a prevenção contra perda de dados (DLP). A DLP impede que dados confidenciais saiam da sua rede.

A maioria dos locais precisa de DNS de proteção em todas as redes e de um gateway em uma minoria de dispositivos gerenciados, se é que precisam de um. O Purple Shield oferece a primeira parte. Ele roda de forma autônoma em qualquer WiFi ou ao lado do Purple Access, com uma política por rede e VLAN. Para conhecer os limites mais amplos da abordagem de DNS, consulte nossa visão geral dos limites da filtragem de DNS.

O que comparamos e por que esses critérios definem a escolha

Avaliamos ambas as abordagens com base em oito critérios. Cada um mapeia uma decisão que um gerente de segurança de TI ou gerente de operações do local toma ao planejar a filtragem. Extraímos as capacidades de cada opção de seus próprios materiais públicos e da implantação de ambas.

O posicionamento vem em primeiro lugar porque molda os outros sete. A filtragem de DNS atua na resolução de nomes, a consulta definida na RFC 1035. Cada dispositivo pede um endereço a um resolvedor antes de se conectar. Um resolvedor de DNS de proteção verifica o domínio em relação à inteligência de ameaças e à política da categoria, e então responde ou recusa.

Como essa verificação ocorre antes de qualquer conexão, ela pega o que um firewall deixa passar. As regras do firewall baseiam-se em endereços IP e portas. Domínios maliciosos se movem através de endereços de nuvem compartilhados que um firewall não pode bloquear com segurança.

Um gateway de web seguro fica mais adiante, dentro da conexão. O tráfego chega até ele por meio de um agente de ponto de extremidade (endpoint), um arquivo de autoconfiguração de proxy (PAC) ou um dispositivo alinhado (inline). Para ler HTTPS, o gateway encerra o TLS, inspeciona o conteúdo e o criptografa novamente. Essa profundidade precisa de um certificado raiz confiável em cada dispositivo inspecionado.

Os oito critérios:

• Posicionamento: em que ponto da conexão o filtro toma sua decisão.
• Visibilidade: o que o filtro consegue ver, desde o nome do domínio até o conteúdo da página.
• Dispositivos não gerenciados: se o tráfego de convidados e BYOD (traga seu próprio dispositivo) é coberto.
• Estrutura de implantação: o hardware, os agentes e os certificados necessários.
• Desempenho: a latência e a largura de banda adicionadas pelo filtro.
• Comportamento em caso de falha: o que acontece quando o serviço fica inacessível.
• Resistência a desvios: com que facilidade um dispositivo contorna o filtro, por exemplo, por meio de DNS sobre TLS (DoT) ou DNS sobre HTTPS (DoH).
• Impacto na privacidade: quanta informação pessoal o filtro processa.

No mercado, a linha nem sempre é clara. O DNSFilter é um serviço de DNS de proteção, na mesma categoria do Shield. A Cisco Umbrella vende segurança na camada de DNS e, em seus pacotes mais avançados, um gateway de web seguro completo, portanto, ela abrange ambos os lados desta comparação. Ao avaliar qualquer fornecedor, verifique qual camada cada pacote oferece em vez de confiar apenas no nome do produto.

Como se comparam o filtro de DNS e um secure web gateway?

Duas linhas merecem uma leitura mais atenta. Em visibilidade, o gateway vence claramente. Um filtro de DNS vê exemplo.com, mas nunca o caminho para um arquivo nesse site. Explicamos o motivo em por que o filtro de DNS não pode ver URLs completas. Em dispositivos não gerenciados, a filtragem de DNS vence claramente, porque a cobertura para convidados não exige certificado nem agente.

As linhas restantes são compensações que você pode gerenciar. É possível fechar o desvio de DNS criptografado com regras de firewall. A latência do gateway é tolerável em um serviço em nuvem bem dimensionado. O comportamento em caso de falha depende do produto, e é por isso que declaramos o do Shield claramente: ele falha fechado (fail-closed).

Onde o filtro de DNS vence

WiFi para convidados e dispositivos não gerenciados

Cada dispositivo em uma rede WiFi usa o servidor DNS fornecido pelo DHCP. Aponte esse servidor para um resolutor de proteção e todos os celulares, notebooks, consoles de jogos e smart TVs estarão cobertos. Ninguém precisa instalar nada. O Captive Portal, a página de login exibida antes do acesso à rede, permanece exatamente como está. Em grande escala, essa é a única maneira prática de filtrar convidados, residentes, passageiros e fãs.

Muitos locais, nenhum hardware novo

Mudar para o filtro de DNS é uma alteração de configuração, não um projeto complexo. O Shield funciona no WiFi que você já utiliza, incluindo Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet.

Você define uma política por rede e por VLAN. Uma rede de convidados para toda a família e uma rede de funcionários no mesmo local podem, portanto, executar regras diferentes. Sua rede de funcionários pode atribuir VLANs por função por meio do IEEE 802.1X, o padrão de autenticação de rede baseado em porta. Em caso afirmativo, a política de DNS específica da função é aplicada sem um proxy.

Bloqueio de ameaças antecipado

O DNS identifica a intenção antes que qualquer tráfego flua. Um dispositivo vítima de phishing precisa buscar um domínio antes de se conectar. O mesmo ocorre com um dispositivo infectado se comunicando com um servidor de comando e controle. O Shield sinaliza ameaças logo no início de seu ciclo de vida, antes que uma conexão web seja estabelecida. Esse tempo de antecedência pode decidir se um domínio de phishing é bloqueado antes do primeiro clique ou depois dele.

Redes mais leves

O bloqueio de anúncios ocorre na mesma camada. O bloqueio de anúncios reduz o uso de largura de banda e diminui o volume de consultas DNS quando ativado. Em uma rede de local movimentada com backhaul limitado, essa capacidade é recuperada sem novos custos.

Falha que permanece segura

O Shield opera no modo "fail-closed", portanto, uma interrupção nunca deixa uma rede sem filtragem. Isso é fundamental em redes de convidados, onde você assume o risco reputacional do conteúdo carregado. Explicamos as vantagens e desvantagens em DNS filtering fail open vs fail closed.

Menor impacto na privacidade

Um filtro DNS processa nomes de domínio, não o conteúdo da página. Sob o GDPR, esse é um conjunto mais restrito de dados pessoais do que sessões de navegação descriptografadas. Seus registros de processamento permanecem mais simples como resultado.

Onde um secure web gateway se destaca

Seja preciso sobre os pontos fortes do gateway. Se você presumir que a filtragem de DNS os cobre, seu programa de segurança terá lacunas reais.

Controle total de URL e caminho

Algumas políticas funcionam abaixo do domínio. Você pode querer permitir um serviço de armazenamento em nuvem, mas bloquear uma pasta compartilhada. Você pode querer permitir um site de notícias, mas bloquear suas páginas de comentários. Apenas um proxy que vê a URL completa pode aplicar regras como essas. Plataformas compartilhadas são o caso mais complexo, pois um filtro DNS deve permitir ou bloquear todo o domínio.

Inspeção de arquivos e conteúdo

Um gateway pode escanear downloads em busca de malware, bloquear tipos de arquivos e colocar executáveis desconhecidos em uma sandbox. A filtragem de DNS interrompe conexões para domínios sabidamente maliciosos. Um arquivo malicioso hospedado em um domínio confiável ainda assim passaria.

Prevenção contra perda de dados

Sua equipe pode manusear dados de cartões de pagamento no escopo do PCI-DSS ou prontuários de pacientes. Se for o caso, pode ser necessário inspecionar envios em busca de conteúdo confidencial. Isso exige tráfego descriptografado e um gateway ou uma ferramenta dedicada de DLP.

Política por pessoa fora da rede

Um agente de gateway aplica políticas por identidade nomeada, sincronizada a partir do Microsoft Entra ID, Okta ou Google Workspace. Essa política acompanha um laptop corporativo na banda larga residencial ou no WiFi do hotel. A política do Shield é configurada por rede e VLAN, o que se adapta a locais físicos e eventos. Uma força de trabalho remota em dispositivos gerenciados pode precisar de aplicação por pessoa onde quer que as pessoas se conectem.

Controles de aplicativos

Muitos gateways decodificam o tráfego para aplicativos específicos. Por exemplo, eles podem permitir que a equipe leia um serviço de compartilhamento de arquivos, mas bloquear envios para ele. O filtro DNS pode permitir ou bloquear os domínios de um aplicativo, mas não ações individuais dentro dele.

Se você está avaliando essas lacunas em relação ao seu registro de riscos, leia o filtro DNS é suficiente? para conhecer os controles que atuam ao lado do DNS de proteção.

Quanto custa a execução de cada um?

As duas abordagens têm preços diferentes, portanto, compare suas estruturas de custos em vez dos valores principais. Não citamos preços de concorrentes. Confirme os termos atuais com cada fornecedor.

O custo oculto de um gateway é o gerenciamento de certificados e exceções. Aplicativos que usam certificate pinning param de funcionar com a inspeção TLS, portanto cada um precisa de uma exceção. A maioria das implantações isenta sites bancários e de saúde por motivos de privacidade. Cada isenção se torna uma regra que alguém precisa manter. Os agentes também precisam de atualização em toda a frota de dispositivos. Nada disso é uma falha. É o preço para enxergar o tráfego por dentro.

O custo operacional do filtro DNS está na manutenção de políticas e no controle de bypass. Você analisa decisões de categoria e lida com solicitações de liberação. Você também mantém as regras de firewall para DNS criptografado atualizadas à medida que novos resolvers públicos surgem.

O que envolve a transição entre o filtro DNS e um gateway?

De um proxy para o filtro DNS em redes de convidados

Esta é a mudança mais comum. As equipes geralmente descobrem que um proxy no WiFi de convidados filtra pouco além de nomes de host, porque ele não pode descriptografar o tráfego de convidados. As etapas são:

1. Exporte suas categorias de proxy atuais e suas listas de permissão e bloqueio.
2. Mapeie-as para categorias DNS. Regras de caminho de URL não têm equivalente em DNS, então decida por regra se deseja permitir ou bloquear todo o domínio.
3. Aponte o servidor DNS no escopo DHCP de cada rede para o resolver de proteção.
4. Bloqueie o DNS de saída para outros resolvers, DoT na porta 853 e endpoints DoH conhecidos.
5. Teste a partir de um dispositivo de convidado real e, em seguida, desative o conjunto de regras do proxy para essa rede.

As etapas de configuração do Shield são cobertas em como o Shield funciona. Os padrões de DNS criptografado são RFC 7858 para DoT e RFC 8484 para DoH.

Adicionando um gateway para dispositivos gerenciados

Esta mudança é mais complexa e deve ser delimitada aos dispositivos que realmente precisam dela. Implante o certificado raiz por meio da sua plataforma de gerenciamento de dispositivos móveis (MDM). Faça o rollout do agente ou arquivo PAC e, em seguida, crie exceções para aplicativos com pinning e categorias sensíveis à privacidade. Conclua uma avaliação de impacto na proteção de dados (DPIA) antes de iniciar a inspeção. Mantenha o Shield ativo em paralelo, pois ele ainda cobre todos os dispositivos que o gateway não cobre.

Executando ambos

Combinar os dois em camadas é o projeto mais forte em locais com tráfego misto. O Shield bloqueia domínios maliciosos conhecidos na resolução, tanto nas redes de convidados quanto nas de funcionários. O gateway então inspeciona o tráfego gerenciado em profundidade. Como o DNS remove os destinos maliciosos primeiro, menos tráfego hostil chega ao proxy. Alinhe as duas políticas de categoria para que um domínio bloqueado em uma camada não seja permitido na outra.

Como decidir entre o filtro DNS e um secure web gateway

Use esta regra de decisão. Se você não possui os dispositivos, use a filtragem de DNS. Se você possui os dispositivos e precisa inspecionar o tráfego por dentro, adicione um gateway apenas nesses dispositivos. Em todos os outros casos, o DNS de proteção é a ferramenta no tamanho certo.

Seu próximo passo é listar suas redes e VLANs, e marcar quais contêm dispositivos não gerenciados. Essas redes recebem o DNS de proteção agora. Em seguida, veja como o Shield funciona para a implantação. Para os controles mais amplos relacionados à identidade, criptografia e segmentação, leia nosso guia de segurança para WiFi empresarial.

Perguntas frequentes

A filtragem de DNS é mais barata de operar do que um gateway de web seguro?

Geralmente, sim, porque a filtragem de DNS não exige hardware, nem agentes de endpoint e nem gerenciamento de certificados. Um gateway adiciona licenciamento por usuário ou dispositivo, manutenção de agentes, renovação de certificados raiz e regras de exceção para aplicativos que falham durante a inspeção. O custo operacional da filtragem de DNS é a manutenção de políticas e regras de firewall para DNS criptografado. Compare o custo operacional total em vez das linhas de licença e confirme os termos atuais com cada fornecedor.

O Purple Shield funciona com o hardware WiFi que eu já possuo?

Sim. O Shield funciona na camada de DNS, portanto é executado em qualquer WiFi, incluindo Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você aponta o DNS de cada rede para o Shield e define uma política por rede e VLAN. Ele é executado de forma independente ou em conjunto com o Purple Access, sem necessidade de novo hardware no local.

A filtragem de DNS pode substituir um gateway de web seguro?

Ela pode em redes de visitantes e locais físicos, mas não onde você deve inspecionar o tráfego por dentro. A filtragem de DNS bloqueia domínios maliciosos e indesejados antes que qualquer conexão seja aberta, o que atende à maioria das necessidades de ameaças e conteúdo para visitantes. Ela não pode aplicar regras em caminhos de URL, escanear arquivos em domínios confiáveis ou inspecionar uploads para prevenção de perda de dados. Mantenha um gateway para os dispositivos gerenciados que precisam desses controles.

Posso executar a filtragem de DNS e um gateway de web seguro juntos?

Sim, e em sites mistos esse é o projeto mais forte. O Shield filtra todos os dispositivos na resolução de DNS, incluindo os dispositivos de visitantes que um gateway não pode inspecionar. O gateway inspeciona em detalhes os dispositivos gerenciados da equipe. Como o DNS bloqueia domínios maliciosos conhecidos primeiro, menos tráfego malicioso chega ao proxy. Mantenha as duas políticas de categoria alinhadas para que um domínio bloqueado em uma camada não seja permitido na outra.

Um gateway de web seguro funciona no WiFi?

Apenas parcialmente. Sem um certificado raiz de confiança no dispositivo, um gateway não pode descriptografar HTTPS sem causar erros de certificado. Você não pode instalar certificados nos telefones dos visitantes. Um gateway ainda pode filtrar pelo nome do host enviado no handshake TLS, o que é próximo do que a filtragem de DNS já faz com menos infraestrutura. Para o WiFi, o DNS de proteção é a escolha prática.

O que acontece com a filtragem se o serviço de DNS cair?

Com o Shield, a filtragem permanece ativa. O Shield opera no modo "fail-closed", portanto, uma interrupção nunca deixa a rede sem filtragem. Os serviços que operam em "fail-open" direcionam os dispositivos para um resolvedor sem filtragem para manter o fluxo de tráfego, o que deixa a rede exposta durante a interrupção. Peça a todos os fornecedores para declarar por escrito seu comportamento em caso de falha e teste-o antes do lançamento.

A inspeção de TLS é compatível com a GDPR?

Pode ser, mas exige mais governança do que a filtragem de DNS. A descriptografia do tráfego da equipe processa o conteúdo de suas comunicações. Portanto, você precisa de uma base legal, uma avaliação de impacto sobre a proteção de dados e um aviso claro para a equipe. A maioria das implementações também isenta sites bancários e de saúde. A filtragem de DNS processa apenas nomes de domínio, uma pegada menor que é mais simples de justificar e documentar.

Quanto esforço exige a migração de um proxy para a filtragem de DNS?

Menos do que a maioria das equipes espera, porque a transição é uma alteração de DNS por rede. O trabalho se divide em três partes: mapear as categorias de proxy para as categorias de DNS, decidir o que fazer com as regras de caminho de URL que não têm equivalente em DNS e bloquear o DNS criptografado no firewall. Teste cada rede a partir de um dispositivo real antes de desativar o conjunto de regras antigo.