Filtragem DNS para escolas e bibliotecas

O filtragem DNS para escolas e bibliotecas bloqueia sites prejudiciais e maliciosos na consulta DNS, antes de qualquer ligação ser aberta. Cobre todos os dispositivos na sua rede WiFi sem agentes ou novo hardware. Para resistir à escrutínio, também deve impedir o desvio de DNS encriptado, bloquear o Safe Search no Google, Bing e YouTube, e produzir relatórios que o seu responsável pela proteção possa comprovar.

O que é a filtragem DNS para escolas e bibliotecas?

Todas as ligações web começam com uma consulta DNS. Um dispositivo pede a um resolutor para transformar um nome num endereço IP. A filtragem DNS adiciona uma verificação de política a essa resposta. Se o domínio estiver numa categoria bloqueada ou contiver um sinal de ameaça, o resolutor retém o endereço real. O navegador nunca abre uma ligação, pelo que o conteúdo, malware ou anúncio nunca é carregado.

Um resolutor que faz isto é chamado de DNS de proteção. Numa rede escolar ou de biblioteca, desempenha três funções ao mesmo tempo:

• Aplica a sua política de conteúdos.
• Bloqueia domínios de phishing e malware.
• Bloqueia os motores de pesquisa nos seus modos seguros.

Onde ocorre a filtragem e o que é que uma firewall deixa passar?

A filtragem ocorre na consulta, antes de o dispositivo ter um endereço ao qual se ligar. Uma firewall funciona mais tarde, na própria ligação. Sem descodificação, vê um endereço IP, uma porta e pouco mais.

A maior parte do tráfego web é agora executada sobre HTTPS na porta 443. Grande parte vai para redes de entrega de conteúdos, que alojam milhares de sites não relacionados sob endereços partilhados. Se bloquear um desses IPs, bloqueia sites legítimos juntamente com ele. Se o permitir, o site prejudicial passa.

Uma firewall pode inspecionar HTTPS, mas apenas depois de instalar um certificado de confiança em cada dispositivo. Pode fazer isso em portáteis propriedade da escola. Não o pode fazer no telemóvel de um visitante numa biblioteca, ou no tablet de um aluno na rede WiFi do ensino secundário. A filtragem DNS não precisa de nada no dispositivo. Aplica-se a qualquer dispositivo que obtenha as suas definições de DNS a partir da sua rede.

Por que razão um filtro de conteúdos DNS escolar é importante na sua rede?

Escolas: KCSIE e as normas do DfE

Em Inglaterra, o Keeping Children Safe in Education (KCSIE) é uma orientação de proteção estatutária do Department for Education (DfE). Exige que os órgãos de governação e proprietários tenham uma filtragem e monitorização adequadas e que revejam o seu funcionamento. Atribui ao responsável designado pela proteção (DSL) a responsabilidade principal pela segurança online, incluindo a compreensão dos sistemas de filtragem e monitorização.

As normas de filtragem e monitorização do DfE para escolas e faculdades definem o que isso significa na prática:

• Atribuir funções claras.
• Rever a sua prestação pelo menos anualmente.
• Bloquear conteúdos prejudiciais e inadequados sem afetar desnecessariamente o ensino e a aprendizagem.

O KCSIE reencaminha as escolas para a definição de filtragem adequada do UK Safer Internet Centre. Essa definição prevê que o seu fornecedor seja membro da Internet Watch Foundation (IWF) e bloqueie a lista da IWF de conteúdos de abuso sexual infantil. Também prevê que o fornecedor bloqueie a lista, avaliada pela polícia, de conteúdos terroristas ilegais da Counter Terrorism Internet Referral Unit (CTIRU). Coloque ambas as questões a qualquer fornecedor na sua lista de pré-seleção.

As escolas dos EUA enfrentam, em alternativa, a Children's Internet Protection Act (CIPA). Cobrimos as etapas de certificação no nosso guia separado sobre filtragem WiFi em conformidade com a CIPA. Quanto à parte da política, consulte Filtragem web para escolas: Políticas que funcionam.

As bibliotecas precisam de filtragem de conteúdos?

Na prática, sim. O dever legal depende de onde opera e de como é financiado.

Nos EUA, a CIPA aplica-se a bibliotecas públicas que aproveitam os descontos do E-rate para acesso à internet. Essas bibliotecas têm de executar uma medida de proteção tecnológica que bloqueie imagens obscenas, material de abuso sexual infantil ou nocivas para menores. A Federal Communications Commission (FCC) permite que uma biblioteca desative o filtro para um adulto a realizar pesquisas de boa-fé ou para outro fim legítimo.

No Reino Unido, nenhum estatuto exige que uma biblioteca pública faça filtragem. Ainda assim, muitos serviços de biblioteca filtram e muitos procuram a acreditação Friendly WiFi. A Friendly WiFi é um esquema de certificação de iniciativa governamental para WiFi público. O seu padrão mínimo exige que filtre pornografia e conteúdos de abuso sexual infantil listados pela IWF onde quer que crianças possam estar presentes.

As bibliotecas têm um trabalho mais difícil do que as escolas. Uma única rede serve uma criança num clube de trabalhos de casa e um adulto a pesquisar uma condição médica. A sua política tem de proteger a criança sem bloquear excessivamente o adulto. Dividir esses públicos em redes separadas é geralmente a resposta mais limpa. Como Configurar a Segmentação de Rede para Convidados e Funcionários explica essa abordagem.

Como funciona a filtragem DNS para escolas e bibliotecas?

Apenas altera uma definição: os servidores DNS que os seus escopos DHCP entregam aos dispositivos. Os pontos de acesso, controladores e switches permanecem onde estão. Cada dispositivo envia então as suas consultas para o resolvedor de proteção, e o resolvedor aplica a sua política.

Categorias de conteúdo e proteção contra ameaças

O resolvedor verifica cada domínio com base em dois conjuntos de sinais.

• Categorias de conteúdo, tais como conteúdo adulto, jogo, armas ou proxies e anonimizadores. O utilizador escolhe quais bloquear para cada público.
• Inteligência sobre ameaças, cobrindo phishing, malware, comando e controlo e domínios recentemente registados usados em ataques.

A velocidade é fundamental no lado das ameaças, porque os atacantes registam domínios e usam-nos em poucas horas. O Shield assinala estas ameaças assim que os domínios maliciosos são identificados. Para uma escola, essa é a diferença entre um funcionário clicar num link de phishing e o resolvedor recusar a resposta.

O que o bloqueio de anúncios faz ao WiFi partilhado e ocupado

Bibliotecas e escolas funcionam frequentemente com WiFi denso em ligações com largura de banda limitada. O bloqueio de domínios de anúncios e analítica na camada DNS remove tráfego desnecessário antes que este atinja a sua ligação. A filtragem destas solicitações resulta em:

• carregamentos de página mais rápidos para os utilizadores
• utilização global de dados reduzida
• menos consultas DNS a atingir a rede
• volumes de tráfego web global mais baixos

Numa ligação de biblioteca partilhada por PCs públicos e telefones de visitantes, esse espaço livre volta a ser utilizado para trabalhos de casa, candidaturas de emprego e aulas em vídeo.

Como impor a Pesquisa Segura numa rede escolar?

O bloqueio por categorias interrompe sites inteiros. Os motores de pesquisa são mais difíceis, porque o Google, o Bing e o YouTube são essenciais para a aprendizagem, mas devolvem resultados explícitos nos seus modos predefinidos. Cada fornecedor documenta um método DNS que força o seu modo seguro em toda a rede:

• O Google publica o forcesafesearch.google.com. Quando o seu resolvedor responde a pesquisas do Google com esse endereço, a Pesquisa Segura fica bloqueada e a pessoa que pesquisa não a pode desativar.
• O Bing publica o strict.bing.com, que impõe a Pesquisa Segura estrita da mesma forma.
• O YouTube publica o restrict.youtube.com e o restrictmoderate.youtube.com, que forçam o Modo Restrito ao nível estrito ou moderado.

Um serviço de DNS de proteção trata deste mapeamento por si, para que escolha uma definição em vez de editar registos manualmente. A restrição moderada do YouTube costuma ser adequada para escolas secundárias, porque o modo estrito oculta muitos vídeos de ensino legítimos. Teste com conteúdos de aulas reais antes de implementar em todos os locais.

Como é que os alunos contornam a filtragem de WiFi da escola com DoH?

O DNS encriptado é a forma mais comum de contornar um filtro DNS. O DNS sobre HTTPS (DoH, definido no RFC 8484) envia consultas dentro do tráfego HTTPS normal. O DNS sobre TLS (DoT, RFC 7858) encripta-as na porta 853. Qualquer um deles pode transportar as consultas de um dispositivo para além do seu resolvedor até um resolvedor público que não aplique qualquer política.

Os alunos raramente precisam de configurar isto sozinhos, porque os navegadores e sistemas operativos vêm com opções de DNS encriptado. A tabela mapeia cada rota com a forma documentada de a fechar.

Rota de contorno	Como contorna o seu filtro	Como fechar
DoH predefinido do Firefox	O Firefox pode enviar consultas para um resolvedor DoH público	Não devolva resposta para o domínio canário da Mozilla, use-application-dns.net, o que indica ao Firefox para continuar a utilizar o resolvedor da sua rede
DNS seguro do Chrome e Edge	Atualiza para DoH quando o resolvedor configurado tem um equivalente DoH conhecido	Defina a política DnsOverHttpsMode para desativada em dispositivos geridos; em dispositivos não geridos, a atualização só é executada em relação ao fornecedor do seu próprio resolvedor
iCloud Private Relay	retransmite o tráfego do Safari e o DNS através dos servidores da Apple	Devolva uma resposta negativa para mask.icloud.com e mask-h2.icloud.com, conforme documentado pela Apple, e os dispositivos mostrarão o Private Relay como indisponível
DNS Privado do Android (DoT)	Envia consultas sobre TLS na porta 853	Bloqueie a porta de saída 853 na sua firewall; o modo automático volta a utilizar o seu resolvedor
Resolutores públicos hard-coded	O dispositivo ou aplicação ignora o DHCP e consulta um resolutor público na porta 53	Bloquear a porta de saída 53 para qualquer destino, exceto para o seu resolutor de proteção
Aplicações VPN e proxy	Encaminham todo o tráfego em túnel para fora da sua rede	Bloquear a categoria de proxies e anonimizadores, e bloquear aplicações VPN por política de MDM em dispositivos geridos

A solução combina regras de DNS, regras de firewall e políticas de dispositivos, porque nenhuma camada isolada fecha todas as vias. O nosso guia separado sobre como bloquear DNS encriptado e bypass de DoH aborda cada controlo em detalhe.

Que relatórios são necessários para escolas e bibliotecas como prova?

A filtragem que não consegue comprovar não irá satisfazer um órgão de gestão, uma inspeção da Ofsted ou uma auditoria CIPA. As normas do DfE preveem uma revisão anual documentada. Nos EUA, a CIPA exige uma política de segurança na internet adotada após aviso público e uma audiência pública. Ambos dependem de registos.

Pergunte a qualquer fornecedor se este consegue exportar o seguinte:

• Pesquisas bloqueadas por categoria, para que o DSL possa ver que ameaças o filtro realmente deteve.
• Resultados por local e por rede, para que uma associação possa comparar escolas e um serviço de biblioteca possa comparar sucursais.
• Tendências ao longo do tempo, para mostrar o efeito das alterações de política entre revisões.
• Sinais de bypass, tais como pesquisas por domínios de resolutores DoH, o domínio de teste (canary domain) do Firefox ou domínios de Private Relay.
• Estado do Safe Search, com prova de que o bloqueio foi aplicado em todas as redes.
• Registo de alterações de políticas, registando quem alterou qual configuração e quando.
• Um registo de bloqueios excessivos (overblocking), registando quais os sites legítimos que a equipa pediu para desbloquear e a rapidez com que atuou.

O registo de bloqueios excessivos é mais importante do que a maioria das equipas espera. As normas do DfE alertam explicitamente contra a filtragem que afete de forma não razoável o ensino. Um registo de pedidos de desbloqueio e dos tempos de resposta mostra que equilibrou a proteção com a aprendizagem.

Mantenha a proteção de dados em foco. Ao abrigo do UK GDPR, os registos de DNS que possam ser associados a uma pessoa identificável são dados pessoais. Defina um período de retenção, restrinja o acesso a funcionários designados e registe o fundamento jurídico no seu aviso de privacidade. A Purple possui as certificações ISO 27001, GDPR, CCPA e Cyber Essentials, as quais pode citar na sua avaliação de impacto sobre a proteção de dados.

Qual é o papel da filtragem de DNS em conjunto com o que já executa?

O DNS de proteção é uma camada sobre a sua rede existente, não uma substituição da mesma. A Purple é independente do hardware. O Shield funciona em WiFi de fornecedores como Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, porque altera o DNS fornecido pela sua rede, e não os pontos de acesso.

A arquitetura habitual é a seguinte:

• Firewall: bloqueia as portas de saída 53 e 853 para resolutores não aprovados e continua a realizar as tarefas de perímetro que o DNS não consegue.
• Segmentação de rede: redes separadas ou VLANs (LANs virtuais, que dividem uma rede física em redes lógicas isoladas) para funcionários, alunos, visitantes e áreas infantis, cada uma com a sua própria política.
• Gestão de dispositivos móveis (MDM): aplica a política do navegador e bloqueia aplicações VPN em dispositivos pertencentes à escola, mesmo fora do espaço físico.
• Captive portal: a página de início de sessão que os visitantes veem antes de acederem à Internet. No Guest WiFi é onde apresenta a sua política de utilização aceitável e recolhe o consentimento.

Comparação entre Shield, DNSFilter e Cisco Umbrella

Todos os três filtram na camada de DNS e todos os três podem impor a Pesquisa Segura (Safe Search). Diferem naquilo para que foram desenvolvidos.

	Purple Shield	DNSFilter	Cisco Umbrella
Onde ocorre a filtragem	Consulta DNS	Consulta DNS	Consulta DNS, com gateway web segura opcional
Novo hardware necessário	Nenhum: altere o DNS que o seu WiFi atribui	Nenhum: reencaminhamento de DNS ou agente de roaming	Nenhum para a camada de DNS; dispositivo virtual opcional para atribuição de IP interno
Imposição da Pesquisa Segura	Google, Bing e YouTube	Google, Bing e YouTube	Google, Bing e YouTube
Dispositivos fora da rede	Cobre dispositivos no WiFi do seu local; utilize MDM para dispositivos levados para casa	Agente cliente de roaming	Módulo de roaming no Cisco Secure Client
Gerido a partir de	Plataforma Purple, juntamente com o Guest WiFi e o WiFi para funcionários	Painel de controlo do DNSFilter	Painel de controlo do Cisco Umbrella, no Cisco Secure Access
Ideal para	Locais que já utilizam, ou estão a mudar para, a Purple WiFi	MSPs e frotas de pontos finais baseadas em agentes	Organizações padronizadas na segurança Cisco

Escolha o Cisco Umbrella se o seu agrupamento ou município já utiliza o Cisco Secure Access e pretende um único fornecedor de segurança. Escolha o DNSFilter se precisar de um agente em cada portátil levado para casa e gerir múltiplos clientes como MSP. Escolha o Shield se a sua prioridade for o próprio WiFi do local: filtragem, proteção contra ameaças e bloqueio de anúncios na rede a que os seus alunos e visitantes se ligam, geridos juntamente com o seu WiFi. Para uma visão de mercado mais ampla, leia The best protective DNS for guest and public WiFi.

Como funciona na prática?

Os dois cenários abaixo são exemplos ilustrativos, criados a partir dos padrões de implementação descritos acima.

Um serviço de biblioteca municipal a trabalhar para a certificação Friendly WiFi

A situação. Um serviço de biblioteca disponibiliza WiFi público em vários edifícios numa única rede partilhada. Os clubes de trabalhos de casa para crianças e os visitantes adultos utilizam o mesmo SSID. O seu filtro antigo era executado num firewall em cada edifício, e a maioria dos edifícios permitia resultados explícitos de imagens no Google.

O que foi feito. O responsável de TI dividiu cada edifício em duas redes: uma rede infantil com uma política rigorosa e uma rede para adultos com uma política mais permissiva. Ambas foram apontadas para um resolvedor de DNS de proteção que bloqueia pornografia e conteúdos da lista IWF, cumprindo o requisito mínimo da Friendly WiFi. A Pesquisa Segura foi ativada e bloqueada no Google e Bing para ambas as redes. O Modo Restrito do YouTube foi definido como estrito para crianças e moderado para adultos. O firewall bloqueou o tráfego DNS de saída para qualquer resolvedor exceto o de proteção.

O resultado mensurável. A equipa testou uma lista fixa de categorias e termos de pesquisa em ambas as redes, em todas as sucursais. Todas as sucursais aprovaram, e os resultados foram incluídos no pedido de Friendly WiFi como prova. A equipa da sucursal lida agora com os pedidos de desbloqueio de conteúdo adulto a partir de um processo de lista de permissões por escrito, e o serviço regista cada pedido e o tempo de resolução.

Um agrupamento de escolas que colmatou a lacuna do DoH

A situação. Um agrupamento gere escolas secundárias, dispondo de WiFi para dispositivos pessoais destinado a alunos do ensino secundário. Um responsável de salvaguarda (DSL) notou que os alunos acediam a sites de jogos e redes sociais bloqueados nos seus próprios telemóveis. Os portáteis pertencentes à escola não apresentavam esse problema.

O que foi feito. O gestor de rede analisou as rotas de contorno na tabela acima. O resolvedor passou a não dar resposta para o domínio canary do Firefox e para os domínios do iCloud Private Relay. O firewall de cada escola bloqueia a porta de saída 853 e a porta de saída 53 para resolvedores públicos. Nos portáteis da escola, a MDM desativa o DNS seguro no Chrome e no Edge. A categoria de proxies e anonimizadores foi bloqueada na rede do ensino secundário.

O resultado mensurável. Os telemóveis de teste com Firefox, Safari com Private Relay e Android Private DNS recorreram todos ao resolvedor da escola. As categorias bloqueadas foram aplicadas como previsto. As consultas de sinal de contorno surgem agora no relatório mensal analisado pelo DSL, o qual alimenta a revisão anual de filtragem do agrupamento sob as normas do DfE. Para infraestruturas deste dimensão, o DNS filtering for MSPs and multi-site estates abrange a gestão centralizada de políticas em múltiplos locais.

Quais são os limites do filtro DNS que deve conhecer?

Seja claro com os seus órgãos de gestão sobre o que a filtragem DNS não consegue fazer.

• Funciona em domínios, não em páginas. Não consegue bloquear uma página nociva num domínio que esteja permitido. O Modo Restrito do YouTube e o Safe Search reduzem essa lacuna, mas não a eliminam.
• É filtragem, não monitorização. As normas do DfE tratam a monitorização como um dever separado. Numa rede partilhada, os registos de DNS mostram um dispositivo, não um aluno identificado. A atribuição por pessoa exige autenticação individual, como IEEE 802.1X (controlo de acesso à rede baseado em portas utilizando credenciais individuais) ou iPSK (uma chave pré-partilhada única por pessoa). As Identity-Based Networks da Purple fornecem ambas.
• Termina no limite da sua rede. Dispositivos levados para casa ligados à banda larga doméstica exigem MDM ou um agente.
• O contorno determinado exige várias camadas. Uma VPN que ainda não esteja categorizada pode criar um túnel de saída até que o seu firewall ou MDM a detete.

Nenhum destes pontos é motivo para ignorar a filtragem DNS. Cada um é um motivo para a combinar com os controlos adequados e documentar essa combinação na sua revisão anual.

O que deve fazer a seguir?

1. Mapeie todas as redes que gere e o público de cada uma: funcionários, alunos, visitantes e crianças.
2. Escreva uma política por público, com a aprovação das categorias pelo DSL.
3. Aponte o DHCP DNS de um local piloto para um resolvedor de proteção e ative o Safe Search.
4. Feche as rotas de contorno da tabela acima e teste com dispositivos reais.
5. Acorde o seu pacote de relatórios e o período de retenção antes do lançamento.
6. Agende a revisão anual agora, para garantir que esta é realizada.

Para ver como a Purple gere a filtragem, a proteção contra ameaças e o bloqueio de anúncios na sua rede WiFi existente, comece com o Shield. Para tópicos relacionados, explore Todos os guias.

Perguntas frequentes

Precisamos de novo hardware para adicionar filtragem de DNS ao WiFi da escola?

Não. O Shield funciona alterando os servidores DNS que a sua rede fornece aos dispositivos, mantendo os seus pontos de acesso, controladores e switches no mesmo lugar. Funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Pode adicionar regras de firewall para bloquear DNS de saída e a porta 853 para outros resolvedores, mas essa é uma configuração no equipamento que já possui.

A filtragem de DNS por si só cumpre os requisitos do KCSIE?

Não. A filtragem de DNS cobre a metade da filtragem do KCSIE, mas as normas do DfE tratam a monitorização como um dever separado. Também precisa de funções atribuídas, uma revisão anual e uma abordagem de monitorização. Verifique se o seu fornecedor de filtragem é membro da IWF e se bloqueia a lista de conteúdos terroristas da CTIRU, conforme esperado pela definição de filtragem apropriada do UK Safer Internet Centre. Em seguida, documente como o filtro, a monitorização e os seus processos de salvaguarda se articulam.

Qual é a dificuldade de migrar do Cisco Umbrella ou do DNSFilter?

A migração em si é uma alteração de DNS e não um projeto de hardware. Primeiro, recrie a sua política de categorias e do Safe Search no novo serviço. Execute-o em paralelo num local piloto e teste as categorias bloqueadas, o Safe Search e os controlos de desvio com dispositivos reais. Em seguida, atualize os servidores DNS nos seus âmbitos DHCP, local por local. Exporte os seus relatórios antigos primeiro, para que a sua revisão anual mantenha o respetivo histórico.

Como é licenciado o Shield?

O Shield é um suplemento de segurança para os planos Connect, Capture e Engage da Purple, a par do SecurePass e do Verify. Licencia software e não dispositivos, pelo que não há custos de hardware nem ciclos de atualização. O seu orçamento reflete o número de locais e redes que gere. Um agrupamento escolar ou serviço de bibliotecas pode incluir todos os locais num único contrato e geri-los a partir da plataforma Purple.

Pode uma biblioteca desbloquear sites para adultos sem enfraquecer a proteção para crianças?

Sim. A abordagem mais limpa consiste em redes separadas: uma política rigorosa onde existam crianças e uma política mais leve para visitantes adultos. Nos EUA, a CIPA permite que uma biblioteca desative a filtragem para um adulto que esteja a realizar uma pesquisa de boa-fé ou para outro fim legítimo. Seja qual for a sua jurisdição, registe todos os pedidos de desbloqueio e o respetivo resultado, para poder comprovar que os adultos obtiveram acesso sem que as crianças perdessem a proteção.

Os registos de filtragem de DNS são dados pessoais ao abrigo do GDPR?

Sim, quando um registo pode ser associado a uma pessoa identificável. Ao abrigo do UK GDPR, isso significa definir um período de retenção, limitar o acesso a pessoal designado e indicar a sua base legal no seu aviso de privacidade. Numa rede partilhada, os registos identificam geralmente um dispositivo e não uma pessoa, o que reduz o risco. A Purple detém as certificações ISO 27001, GDPR, CCPA e Cyber Essentials, o que apoia a sua avaliação de impacto sobre a proteção de dados.

Ainda precisamos de uma firewall se utilizarmos filtragem de DNS?

Sim. A filtragem de DNS bloqueia domínios prejudiciais e maliciosos antes de uma ligação ser aberta, mas não substitui a segurança do perímetro. A sua firewall continua a controlar o acesso de entrada e a segmentar as redes. Também bloqueia o DNS de saída e a porta 853 para resolutores não aprovados, o que fecha o contorno do DNS encriptado. As duas camadas funcionam melhor juntas: o DNS decide quais os nomes a resolver e a firewall garante que cada consulta passa pelo seu resolutor.