Shield vs Cisco Umbrella: escolher DNS de proteção para WiFi de convidados

Escolha o Shield para WiFi de convidados em propriedades com múltiplos locais que exijam uma implementação rápida, sem hardware, agentes ou taxas por utilizador. Escolha o Cisco Umbrella para proteger pontos finais corporativos e criar uma estrutura SASE. A Purple integra-se com plataformas como a Cisco Meraki e cumpre normas como a Keeping Children Safe in Education, sendo suportada pela certificação ISO 27001.

Qual deve escolher: Shield ou Cisco Umbrella para WiFi de convidados?

A escolha certa depende de quem está a proteger. Pergunte a si mesmo se são os seus colaboradores ou o público em geral que entra pelas suas instalações.

O Cisco Umbrella começou por ser o OpenDNS antes de ser adquirido pela Cisco. Evoluiu para uma plataforma Security Service Edge para redes corporativas e equipas de trabalho híbridas. Protege as pessoas que a Cisco consegue contar, identificar e associar a uma política, onde quer que o seu portátil vá.

O Shield é o serviço de DNS de proteção da Purple para redes públicas e de convidados. Ativa-o por SSID (o nome da rede à qual um dispositivo se liga). Filtra ameaças e conteúdos inadequados, e bloqueia anúncios para todos os utilizadores dessa rede. Ninguém precisa de instalar nada. Ninguém precisa de ser contado.

Ambos os serviços realizam a mesma tarefa fundamental. O DNS de proteção é um resolvedor que verifica cada consulta de domínio em relação a listas de ameaças e conteúdos. Recusa responder a domínios bloqueados, impedindo assim que o dispositivo se ligue. As diferenças residem em torno desse núcleo: a forma de compra, a forma de implementação e o que mais os acompanha.

Se gere WiFi de convidados em hotéis, lojas, estações, escolas ou clínicas, está geralmente a comprar para uma multidão e não para uma contagem de funcionários. É sob esta perspetiva que o resto deste guia é apresentado.

Onde o Shield e o Cisco Umbrella realmente diferem

Onde ocorre a filtragem e o que um firewall deixa passar

Ambos os serviços atuam no momento da consulta de DNS. Quando um telemóvel quer abrir um site, pergunta primeiro a um resolvedor pelo endereço IP do domínio. Um resolvedor de DNS de proteção verifica o domínio antes de responder. Se o domínio for malicioso ou estiver bloqueado pela política, a consulta falha e nenhuma ligação é aberta. Para saber mais sobre o funcionamento técnico, consulte O que é uma consulta de DNS e por que razão as redes a utilizam.

Um firewall atua numa fase posterior da sequência. Inspeciona o tráfego após o início da ligação. A maior parte do tráfego web utiliza agora encriptação TLS, pelo que um firewall sem desencriptação vê um endereço IP e pouco mais. Em todo o caso, desencriptar o tráfego de convidados é inviável. Não pode instalar um certificado de raiz no telemóvel pessoal de um visitante.

O bloqueio baseado em IP também apresenta dificuldades com o alojamento partilhado. Vários domínios podem estar alojados num único endereço de uma rede de distribuição de conteúdos. Se bloquear o IP, interrompe sites legítimos. Se o permitir, o domínio malicioso consegue passar.

O DNS identifica o próprio nome do domínio antes que ocorra qualquer transferência de dados. É por isso que o DNS de proteção é ideal para redes abertas nas quais não é proprietário dos dispositivos.

Seja claro também relativamente aos limites. O filtragem de DNS decide por domínio, não por página. Não consegue bloquear um caminho específico num site que esteja autorizado. Os dispositivos que utilizam DNS encriptado, como o DNS over HTTPS (DoH), podem tentar contornar o seu resolvedor. O nosso artigo explicativo sobre DNS Over HTTPS Explained: Privacy vs Public WiFi Filtering aborda como os operadores lidam com essa situação.

Unidade de licenciamento: utilizadores versus redes

Esta é a diferença mais importante para o WiFi de convidados.

A Cisco não publica listas de preços para o Umbrella. A compra é feita através das vendas da Cisco ou de um revendedor, mediante um orçamento. Os pacotes incluem DNS Security Essentials, DNS Security Advantage, SIG Essentials e SIG Advantage, cada um com diferentes capacidades e opções de duração de contrato.

O Umbrella é licenciado por utilizador (seat). Esse modelo adequa-se a uma empresa com um número conhecido de colaboradores. No entanto, não se adequa quando a sua rede atende um grupo reduzido num dia calmo e milhares de visitantes num dia de evento de pico. Pergunte ao seu revendedor como as redes de convidados contabilizam os utilizadores. A resposta define todo o orçamento.

O Shield é dimensionado para a rede. Ativa-o nos SSIDs que pretende proteger. Um fim de semana movimentado não altera o que contabiliza.

Esforço de implementação

O Umbrella oferece vários caminhos de implementação. Pode apontar o DNS da rede para o Umbrella e registar os seus endereços IP de saída. Pode adicionar appliances virtuais para atribuir endereços IP internos. Pode implementar o módulo de roaming no Cisco Secure Client em portáteis geridos. Essa flexibilidade é um ponto forte para a equipa de IT empresarial. No entanto, também exige mais trabalho de conceção, documentação e manutenção.

O Shield implementa-se por SSID em minutos, sem hardware e sem agentes. O Purple é independente de hardware e funciona como uma sobreposição na nuvem. Funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks e Fortinet. Os seus pontos de acesso existentes permanecem no local.

Bloqueio de anúncios e experiência dos convidados

O bloqueio de anúncios é uma funcionalidade para redes de convidados, não para redes empresariais. O Shield bloqueia domínios de anúncios e rastreadores logo na pesquisa, tornando o carregamento das páginas mais leve em largura de banda partilhada.

Ao bloquear anúncios e domínios de rastreio ao nível do resolvedor, o Shield proporciona tempos de carregamento de página mais rápidos, consumo reduzido de dados e menos consultas DNS, diminuindo o volume geral de tráfego web. Numa rede de hotel congestionada ou num comboio com ligação de dados móveis, essa capacidade é recuperada sem necessidade de novo hardware.

O Umbrella não é posicionado como um produto de bloqueio de anúncios. Pode bloquear domínios selecionados através das suas listas de destinos, mas essa é uma lista manual mantida por si.

Deteção de ameaças

O Umbrella assenta no Cisco Talos, uma das maiores equipas comerciais de inteligência contra ameaças. Essa dimensão é uma verdadeira vantagem.

O Shield identifica domínios emergentes de phishing e malware antecipadamente, ajudando a proteger dispositivos de convidados não geridos que não pode atualizar. Para uma visão mais ampla das opções, consulte Phishing Protection Software Options for Shared WiFi.

Padrões de filtragem de segurança familiar

O WiFi público em locais onde as crianças se ligam envolve deveres adicionais. As escolas em Inglaterra devem cumprir as normas de filtragem e monitorização do Department for Education no âmbito do Keeping Children Safe in Education. Os locais recorrem frequentemente ao programa Friendly WiFi do Reino Unido como um sinal público de navegação segura.

Ambos os serviços filtram por categoria de conteúdo. Pergunte a cada fornecedor como as suas categorias se alinham com a norma que tem de cumprir. Peça provas, não apenas um sim.

Comparação lado a lado

Critério	Shield	Cisco Umbrella
Foco do design	WiFi para convidados e público	Endpoints corporativos e força de trabalho híbrida
Onde ocorre a filtragem	Consulta de DNS, antes da ligação	Consulta de DNS, mais proxy web em pacotes SIG
Preços publicados	Adequados a locais e SSIDs, cotados pela Purple	Sem tabela de preços; cotação através da Cisco ou revendedor
Unidade de licença	Por SSID	Por utilizador
Implementação para um SSID de convidados	Minutos, por SSID	Registar redes e DNS; dispositivos virtuais opcionais
Hardware adicional	Nenhum	Nenhum para DNS; dispositivos virtuais para atribuição interna
Agentes nos dispositivos	Nenhum	Cisco Secure Client para proteção fora da rede
Bloqueio de anúncios	Integrado	Manual, através de listas de destinos
Proteção fora da rede	Não aplicável a dispositivos de convidados	Sim, através do módulo de roaming
Stack de segurança mais amplo	Camada DNS, com suplementos Purple SecurePass e Verify	SWG, CASB, FWaaS, ZTNA em pacotes superiores
Melhor adequação	Locais com WiFi para convidados em múltiplos pontos e afluência variável	Organizações que protegem funcionários identificados em qualquer lugar

Quando é que o Shield é a escolha certa?

O Shield é adequado quando a sua rede atende pessoas que não emprega e não pode contabilizar antecipadamente. Várias situações justificam claramente a sua utilização.

Gere WiFi para convidados em múltiplos locais

Uma rede com múltiplos locais precisa da mesma política em todo o lado e de um único ponto para a gerir. Com o Shield, a unidade de implementação é o SSID. A expansão para um novo hotel, loja ou estação é uma alteração de configuração, não um evento de aquisição. Visualiza cada local através da mesma plataforma Purple que gere o seu WiFi para convidados.

A sua afluência oscila consoante a estação ou o evento

Parques de campismo, estádios, centros comerciais e atrações turísticas veem o número de visitantes multiplicar-se nos dias de pico. O licenciamento baseado no número de utilizadores obriga-o a adivinhar esse pico e a pagá-lo durante todo o ano. A proteção adaptada à rede elimina as incertezas.

Não pode intervir nos dispositivos

Convidados, compradores, passageiros e pacientes trazem os seus próprios telemóveis. Não pode instalar um agente neles e nem deve tentar. A proteção ao nível do DNS funciona para todos os dispositivos que se associam ao SSID, sem necessidade de instalar nada.

A largura de banda é reduzida ou limitada

O bloqueio de anúncios compensa o seu custo onde a ligação de suporte é escassa. Comboios com ligações de rede móvel, locais de eventos temporários e espaços rurais enquadram-se perfeitamente. A redução do tráfego web desnecessário recupera capacidade sem exigir novos circuitos.

Quando é que o Cisco Umbrella é a escolha certa?

O Umbrella é a opção mais forte em várias situações, e uma comparação honesta deve reconhecê-lo.

Está a proteger os colaboradores de uma empresa

Se a sua prioridade são os portáteis dos funcionários no escritório, em casa e em viagem, o Umbrella foi criado para isso. O módulo de roaming mantém a política em vigor fora da rede. A política liga-se a identidades do seu diretório, incluindo o Microsoft Entra ID e o Okta.

Pretende um caminho para o SASE

O Secure Access Service Edge (SASE) combina redes e segurança num único serviço de nuvem. Os pacotes superiores do Umbrella expandem-se da segurança DNS para uma gateway Web segura (SWG) que atua como proxy e inspeciona o tráfego Web. Adicionam um broker de segurança de acesso à nuvem (CASB), que regula a utilização de aplicações na nuvem. Também incluem firewall como um serviço (FWaaS) e, através do portfólio mais amplo da Cisco, acesso à rede com confiança zero (ZTNA) para aplicações privadas. Se está a consolidar essa arquitetura, um serviço DNS exclusivo para convidados não a irá substituir.

Normalizou a sua estrutura com a segurança Cisco

As organizações que já utilizam ferramentas de segurança Cisco beneficiam de inteligência contra ameaças partilhada através do Talos. Também ganham com o suporte de um único fornecedor e com uma relação comercial existente com um revendedor.

Necessita de inspeção ao nível da página em dispositivos geridos

O DNS decide por domínio. Se a política exigir a inspeção de URLs individuais ou de downloads de ficheiros em dispositivos empresariais, precisa de um proxy. Os pacotes SIG do Umbrella fornecem um. Isso faz sentido em dispositivos que possui e gere. Raras vezes faz sentido em telemóveis de convidados.

Quanto custa manter o Shield e o Cisco Umbrella?

O preço de tabela é apenas uma linha. O custo total resulta de vários componentes.

Custo de licença

O custo do Umbrella depende do pacote, do número de licenças/utilizadores, do prazo e da margem do revendedor. Como os preços são fornecidos apenas sob orçamento, não pode prevê-los a partir de um website. Precisa de uma conversa comercial e de um número justificável de utilizadores. Para o WiFi de convidados, esse número é o elemento mais difícil de produzir.

O custo do Shield escala com os locais e SSIDs que protege. Pode prevê-lo a partir da lista do seu património de rede. Solicite os preços atuais à Purple através da página do Shield.

Tempo de implementação e manutenção

A implementação de rede do Umbrella é simples apenas para o DNS. Cada componente adicional acrescenta tarefas de conceção e manutenção: dispositivos virtuais, clientes de roaming, encadeamento de proxies e gestão de certificados. Para a equipa de TI empresarial com um departamento de segurança, isso é um trabalho normal. Para um operador de espaço com apenas um administrador de rede, representa um custo real.

O Shield não adiciona hardware nem agentes. Configura-o por SSID e gere a política de forma centralizada.

Largura de banda recuperada

O bloqueio de anúncios reflete-se na sua fatura de largura de banda. O bloqueio de anúncios reduz o consumo geral de dados e o volume de tráfego Web com o Shield. Em ligações com tráfego medido, compare esse valor com o seu gasto mensal em custos adicionais de utilização.

Risco assumido

Calcule o risco que assume quando a filtragem está ausente. Isso inclui malware a atingir a rede, reclamações sobre conteúdos inadequados e falhas em auditorias de proteção de menores e vulneráveis. Ambos os serviços reduzem esse risco. A questão é qual deles pode suportar financeiramente em todos os SSIDs de convidados, em todos os locais, durante todo o ano.

Como tomar uma decisão para o seu património?

Comece com as questões fundamentais. Quem se liga: colaboradores identificados ou o público em geral? Onde se ligam: portáteis geridos em qualquer lugar ou dispositivos pessoais nas suas instalações? Do que precisa para além do DNS: um roteiro SASE ou proteção e páginas mais rápidas em redes de convidados?

Matriz de decisão

A sua situação	Recomendação
Apenas WiFi de convidados, múltiplos locais, afluência variável	Shield
Portáteis corporativos fora da rede, colaboradores identificados	Cisco Umbrella
Redes de convidados e colaboradores, SSIDs separados	Shield em SSIDs de convidados, Umbrella em corporativos
Consolidação de SWG, CASB e FWaaS	Cisco Umbrella
Ligação limitada ou via rede móvel	Shield, para bloqueio de anúncios
Presença de crianças, necessidade de filtragem segura para famílias	Shield em SSIDs públicos, mapeado para o seu padrão
MSP a gerir muitos locais de pequena dimensão	Shield, âmbito por SSID por local de cliente

Cenário prático: grupo hoteleiro com ocupação sazonal

Situação. Um grupo hoteleiro utilizava o Umbrella para portáteis da sede. O responsável pela segurança pediu ao revendedor para estender a solução ao WiFi de convidados. O orçamento exigia uma estimativa de licenças por convidado. A ocupação variava substancialmente entre a época baixa e o pico do verão, além dos picos de conferências. Ninguém conseguia justificar um número único.

O que foi feito. O grupo manteve o Umbrella nos dispositivos corporativos. Ativou o Shield no SSID de convidados em todos os hotéis durante uma janela de alteração, utilizando a mesma plataforma Purple que gere o seu Captive Portal. O Captive Portal é a página de início de sessão que os convidados veem quando se ligam. Nenhum hardware foi enviado para qualquer local e nenhum convidado instalou qualquer aplicação.

Resultado. O grupo protegeu as suas redes de convidados sem agentes e sem novo hardware. Eliminou completamente a previsão de licenças do orçamento para convidados. A sua equipa de rede estabeleceu uma linha de base para o tráfego web de convidados e registou poupanças de largura de banda notórias. O resultado forneceu à equipa de rede provas claras para apresentar na revisão de capacidade seguinte.

Cenário prático: bibliotecas municipais e centros desportivos

Situação. Um município disponibilizava WiFi público nas suas bibliotecas e centros desportivos. Várias crianças utilizavam ambos os espaços. O município necessitava de uma filtragem segura para famílias e pretendia ter todos os locais sob a mesma política. O seu administrador de rede não tinha capacidade para manter clientes em roaming nem equipamentos físicos.

O que foi feito. O município ativou o Shield no SSID público de cada local e aplicou uma política segura para famílias. Os dispositivos dos colaboradores mantiveram-se num SSID separado sob os controlos corporativos existentes. A equipa de rede bloqueou os pontos de extremidade DoH conhecidos na VLAN pública, o segmento de rede virtual que separa o tráfego público do tráfego dos colaboradores. Isso impediu que os dispositivos contornassem o resolutor.

Resultado. Todos os locais passaram a executar uma única política, gerida a partir de um único local, sem necessidade de software nos dispositivos dos visitantes. O município pôde apresentar ao seu responsável de proteção de menores uma configuração de filtragem única e documentada. O bloqueio de DoH fechou a rota de desvio mais comum na rede pública.

Cenário prático: festival com ligação via rede móvel

Situação. Um festival disponibilizou WiFi a visitantes através de ligações celulares agregadas. Os dados eram tarifados e, em eventos anteriores, as ligações saturaram durante as horas de ponta.

O que foi feito. O organizador ativou o Shield no SSID de visitantes antes da abertura de portas. Os domínios de anúncios e rastreadores foram bloqueados logo na consulta, juntamente com domínios de phishing conhecidos que visavam páginas de bilheteira e pagamentos.

Resultado. O organizador comparou a utilização de dados com a referência anterior, alcançando carregamentos de página mais rápidos e um menor consumo de dados. Licenciar um público de festival por utilizador teria exigido prever a afluência antes de os bilhetes esgotarem.

Perguntas a fazer a ambos os fornecedores

• Como é contabilizada uma rede de convidados para efeitos de licenciamento e o que acontece num dia de pico?
• Quanto tempo demora a implementação para um SSID e o que precisa de ser instalado?
• Como é que as suas categorias de conteúdo se articulam com a norma de proteção familiar a que respondemos?
• Como gerem os dispositivos que utilizam DNS sobre HTTPS?
• Onde são armazenados os registos de consultas, por quanto tempo e sob que certificação?

Se o DNSFilter também estiver na sua lista de opções, leia Shield vs DNSFilter: uma comparação de DNS de proteção para operadores de WiFi. Para mais guias de decisão, consulte Todos os guias.

Perguntas frequentes

Existe uma alternativa ao Cisco Umbrella para WiFi de convidados?

Sim. O Shield é o serviço de DNS de proteção da Purple criado para WiFi de convidados e público em vez de pontos terminais empresariais. Ativa-o por SSID em minutos, sem hardware e sem agentes nos dispositivos dos visitantes. Filtra ameaças e conteúdos inadequados e bloqueia anúncios na consulta de DNS. Muitas organizações mantêm o Umbrella nos dispositivos dos funcionários e executam o Shield nas redes de convidados. Assim, cada ferramenta cumpre a função para a qual foi concebida.

Como é calculado o preço do Cisco Umbrella para WiFi de convidados?

O Cisco Umbrella não tem um preço de tabela público. A compra é feita através da equipa de vendas da Cisco ou de um revendedor mediante orçamento, em pacotes como o DNS Security Essentials, DNS Security Advantage, SIG Essentials e SIG Advantage. O licenciamento é por utilizador. Para WiFi de convidados, pergunte como é que os visitantes anónimos são contabilizados como utilizadores antes de aceitar uma proposta. A afluência sazonal ou associada a eventos torna esse número difícil de prever e ainda mais difícil de justificar.

O Umbrella é excessivo para a filtragem de WiFi público?

Frequentemente sim, se as redes de convidados forem a única coisa que precisa de proteger. Os pontos fortes do Umbrella são a proteção em roaming para portáteis geridos, políticas baseadas em identidade e uma transição para SWG, CASB, FWaaS e ZTNA. Os dispositivos de convidados não utilizam nada disso. Para WiFi público, a necessidade essencial é a filtragem de ameaças e conteúdos ao nível do DNS em todos os dispositivos que se ligam. O Shield oferece isso mesmo por SSID, sem contagem de utilizadores nem agentes.

O Shield funciona com os nossos pontos de acesso existentes?

Sim. O Purple é agnóstico em relação ao hardware e executa como uma sobreposição em nuvem na rede que já possui. Funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. O Shield atua na camada de DNS, pelo que o configura por SSID sem necessidade de novo hardware. Os seus pontos de acesso, switches e controladores permanecem no mesmo lugar.

Podemos executar o Shield e o Cisco Umbrella lado a lado?

Sim, e para infraestruturas mistas é frequentemente o design mais simples. Mantenha o Umbrella em SSIDs corporativos e portáteis geridos, onde os licenciamentos por utilizador e a proteção no roaming se ajustam. Execute o Shield em SSIDs de convidados e públicos, onde as pessoas que se ligam são anónimas e variáveis. SSIDs e VLANs separados mantêm as duas políticas isoladas. Cada rede utiliza depois o resolvedor adequado às pessoas que a utilizam.

Quanto tempo demora a implementar o Shield?

Minutos por SSID. O Shield não precisa de hardware nem de software nos dispositivos dos visitantes, pelo que a implementação é uma alteração de configuração em vez de um projeto. Uma infraestrutura com vários locais pode proteger todas as redes de convidados numa única janela de alteração. A documentação de suporte do Purple cobre os passos de configuração para o seu hardware. A política é gerida centralmente assim que cada SSID estiver ativo.

Como é que o DNS protetor afeta o GDPR e o tratamento de dados?

Trate os registos de consultas de DNS como dados pessoais quando puderem ser associados a um dispositivo, e defina a retenção em conformidade. O Purple possui certificação ISO 27001 e está em conformidade com o GDPR, e o Shield enquadra-se nessa estrutura. Para qualquer fornecedor, pergunte onde os registos são armazenados, durante quanto tempo são mantidos e quem pode aceder-lhes. Em seguida, registe as respostas na sua avaliação de impacto sobre a proteção de dados.

Os visitantes podem contornar a filtragem de DNS no WiFi de convidados?

Alguns podem tentar, principalmente através de DNS sobre HTTPS ou de uma VPN que envie consultas para outro resolvedor. Pode reduzir esta situação bloqueando endpoints de DoH conhecidos e resolvedores públicos na VLAN de convidados. Isso força as consultas a passar pelo seu serviço de DNS protetor. Nenhum filtro de DNS impede todas as tentativas intencionais de bypass. Combinado com controlos de rede, cobre a maioria dos visitantes na maioria dos dispositivos.