Shield vs DNSFilter: uma comparação de DNS de proteção para operadores de WiFi

O Shield e o DNSFilter bloqueiam domínios maliciosos e indesejados na consulta DNS, antes de qualquer ligação ser aberta. A diferença reside no modelo operacional. O Shield é um add-on da Purple gerido juntamente com os seus SSIDs, Captive Portal e analítica, numa única fatura. O DNSFilter é um resolvedor autónomo com a sua própria consola, agentes e fatura, sendo adequado para dispositivos de funcionários em itinerância.

Qual deve escolher para o WiFi de convidados: Shield ou DNSFilter?

Escolha com base no modelo operacional e não no resolvedor. Ambos os produtos filtram no mesmo ponto da ligação. Ambos bloqueiam phishing, malware e categorias de conteúdo indesejado. A diferença está na forma como se integram na sua infraestrutura.

O Shield é um add-on de segurança para a plataforma de Guest WiFi da Purple. É um de três, juntamente com o SecurePass e o Verify. Ativa-o a partir do painel de controlo que já gere os seus SSIDs, Captive Portal e analítica de visitantes. Não precisa de assinar um contrato de resolvedor separado, implementar um agente ou pagar uma segunda fatura.

O DNSFilter é uma empresa especializada em DNS de proteção. Vende um serviço de resolvedor autónomo, uma consola de políticas e clientes itinerantes para dispositivos geridos. É um produto bem conotado e o resumo honesto é este:

• Se o seu WiFi público e de convidados já funciona no Purple, o Shield é o caminho mais curto. Obtém um único fornecedor, uma fatura e um painel de controlo.
• Se a sua principal exposição são os computadores portáteis e telemóveis de funcionários que saem do edifício, os clientes itinerantes do DNSFilter cobrem vertentes que o Shield não cobre.
• Se tem ambos os problemas, utilize ambos. Utilize o Shield nos SSIDs públicos e de convidados, e o DNSFilter ou o Cisco Umbrella nos endpoints geridos.

Este guia não discute a velocidade do resolvedor, a contagem de pontos de presença ou a abrangência da inteligência contra ameaças. O DNSFilter e o Cisco Umbrella são fornecedores de segurança dedicados e a profundidade é o seu negócio. Um operador de WiFi precisa de responder a uma questão mais restrita. Quer um DNS de proteção integrado na plataforma WiFi ou uma solução separada que compra e gere autonomamente?

Onde filtra o DNS de proteção e o que é que uma firewall deixa passar?

Cada pedido web começa com uma consulta DNS. Antes de um dispositivo abrir uma ligação, solicita a um resolvedor que converta um nome de domínio num endereço IP. O nosso explicativo sobre o que é uma consulta DNS e porque é que as redes a utilizam aborda a mecânica do processo.

O DNS de proteção verifica cada consulta em função de dados de ameaças e categorias. Se o domínio for malicioso ou estiver bloqueado, o resolvedor omite a resposta real. O dispositivo nunca chega ao servidor, pelo que nenhuma página é carregada, nenhum ficheiro é transferido e nenhuma credencial sai do dispositivo.

O que uma firewall isolada deixa passar no WiFi de convidados

Uma firewall funciona nas ligações. Vê endereços IP e portas. Sem desencriptação, vê muito pouco do conteúdo. Há três lacunas importantes nas redes públicas:

1. Tráfego encriptado. A maior parte do tráfego web agora corre sobre HTTPS. Para o inspecionar, tem de instalar um certificado de confiança em cada dispositivo, e não pode fazer isso no telemóvel de um convidado.
2. Infraestrutura em mudança. Os operadores de phishing rodam os endereços IP rapidamente, pelo que as listas de bloqueio de IP ficam desatualizadas. O domínio é frequentemente o indicador mais estável.
3. Nomes de servidor ocultos. O TLS 1.3 com Encrypted Client Hello oculta o nome do servidor solicitado da inspeção no caminho da rede. A pesquisa de DNS continua a ocorrer antes da ligação.

O DNS de proteção não precisa de agente nem de certificado. Cobre todos os dispositivos que obtêm o seu resolvedor a partir das suas definições de DHCP, seja qual for o sistema operativo. É por isso que se adapta ao WiFi de convidados, onde é proprietário da rede, mas não dos dispositivos.

Onde o DNS de proteção precisa de ajuda

A filtragem de DNS não substitui uma firewall. Alguns dispositivos contornam o resolvedor de rede: aqueles com um resolvedor codificado e navegadores que utilizam DNS over HTTPS (DoH, RFC 8484) ou DNS over TLS (DoT, RFC 7858). Feche essa lacuna na firewall. Bloqueie o DNS de saída na porta 53 para qualquer resolvedor exceto o seu, bloqueie a porta 853 e bloqueie endpoints DoH conhecidos.

Este conselho aplica-se igualmente ao Shield, DNSFilter e Cisco Umbrella. O nosso artigo explicativo sobre encaminhamento de DNS mostra como as consultas se movem entre resolvedores numa rede típica. Ajuda quando estiver a planejar onde o resolvedor de proteção se situa.

Onde é que o Shield e o DNSFilter diferem verdadeiramente?

A tabela compara as três opções que um comprador de WiFi de convidados normalmente inclui na lista final. Cada linha é uma questão operacional, não uma contagem de funcionalidades.

	Shield	DNSFilter	Cisco Umbrella
O que é	Suplemento de DNS de proteção para o Purple Guest WiFi	Serviço de DNS de proteção independente	Segurança ao nível do DNS dentro do portfólio de segurança da Cisco
Novo hardware necessário	Nenhum	Nenhum para filtragem de rede	Nenhum para filtragem ao nível do DNS
Onde gere a política	Painel do Purple, ao lado de SSIDs, Captive Portal e analítica	Consola do DNSFilter separada	Painel do Umbrella separado
Cobre dispositivos fora da sua rede	Não, protege os dispositivos enquanto estão no seu WiFi	Sim, através de clientes em roaming em dispositivos geridos	Sim, através do Cisco Secure Client
Bloqueio de anúncios	Integrado	Através de política de categorias de conteúdo	Através de política de categorias de conteúdo
Modelo de preço	Suplemento à sua subscrição do Purple	Escalões mensais publicados por utilizador	Licenças de pacote orçamentadas pela Cisco ou por um parceiro
Faturas para WiFi de convidados mais DNS	Uma	Duas	Duas, ou uma relação com a Cisco com licenças separadas
Melhor adequação	Espaços que executam WiFi público e de convidados no Purple	Frotas de funcionários geridas, MSPs, endpoints em roaming	Infraestruturas padronizadas na segurança da Cisco

O que o DNSFilter faz bem

O DNSFilter tem pontos fortes genuintos, e deve ponderá-los devidamente.

• Velocidade. O DNSFilter publica testes de referência de desempenho do resolvedor e faz da velocidade de resolução uma parte central da sua proposta.
• Categorização por machine-learning. O seu motor de classificação categoriza domínios que ainda não viu. Isto é importante porque surgem diariamente novos domínios de phishing.
• Preços previsíveis. Os seus escalões por utilizador são públicos, pelo que pode orçamentar um número conhecido de colaboradores sem necessidade de uma chamada comercial.
• Cobertura em roaming. Os seus clientes de roaming filtram dispositivos geridos em casa, em hotéis e em dados móveis.
• Ferramentas para MSP. Uma consola multi-tenant permite que um prestador de serviços geridos administre várias organizações de clientes a partir de um único login.

O DNSFilter também publica alegações de que deteta ameaças mais cedo do que outros serviços. A Purple publica o seu próprio número para o Shield: ameaças identificadas até 10 dias mais cedo, com base em dados próprios da Purple. Nenhum dos números provém de um teste comparativo direto sob as mesmas condições. Não faça a sua escolha com base em qualquer um destes números.

O que o Shield faz de diferente

O argumento do Shield reside no local onde opera e não na profundidade do resolvedor.

• Política nativa da plataforma. Define a filtragem nas redes de convidados que já gere no Purple. O mesmo painel mostra a analítica de logins, o desempenho do Captive Portal e a atividade de filtragem.
• Bloqueio de anúncios incluído. Os dados publicados pela Purple para o bloqueio de anúncios do Shield apontam para carregamentos de páginas até 500% mais rápidos, até menos 44% de dados, 62% menos consultas de DNS e menos 20 a 40% de tráfego web.
• Agnóstico em relação ao hardware. O Purple funciona como uma sobreposição em nuvem sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. O Shield não precisa de nenhum equipamento novo em nenhum deles.
• Um único enquadramento de conformidade. A Purple possui as certificações ISO 27001 e Cyber Essentials e cumpre o GDPR. Os seus dados de DNS ficam com o fornecedor que já processa os seus dados de WiFi de convidados.

Quando é que o Shield é a escolha certa?

O Shield é a escolha certa quando a sua rede WiFi de convidados ou pública já funciona no Purple, ou se planeia migrá-la para lá. Adapta-se melhor quando a maioria dos seguintes pontos se confirma:

• Os dispositivos que precisa de proteger pertencem a convidados, visitantes, clientes ou passageiros, e não a portáteis geridos.
• Pretende filtragem, proteção contra ameaças e bloqueio de anúncios sem necessidade de um novo equipamento ou agente.
• A sua equipa de compras prefere alargar um contrato existente em vez de integrar um novo fornecedor de segurança.
• Os gestores dos espaços já utilizam o painel do Purple e não devem ter de aprender a usar uma segunda consola.
• A largura de banda em alguns locais é reduzida, pelo que o bloqueio de anúncios traz um benefício operacional direto.

Cenário prático: um hotel de conferências com 200 quartos

Situação. Um hotel de 200 quartos executa o WiFi de convidados no Purple através de pontos de acesso Ruckus. Os hóspedes e delegados de conferências partilham um SSID público. Um segundo SSID serve a equipa. O gestor de TI precisa de bloqueio de phishing e malware, além de filtragem de conteúdos adultos no SSID de convidados, antes da época de conferências. Os orçamentos para um serviço de DNS autónomo implicavam a avaliação de um novo fornecedor, uma segunda consola e o registo do endereço IP público do local.

O que foi feito. A equipa ativa o Shield no SSID de convidados a partir do painel de controlo da Purple. Selecionam a proteção contra ameaças e as categorias de conteúdo que a política de utilização aceitável do hotel bloqueia. Ativam o bloqueio de anúncios. No firewall, bloqueiam o DNS de saída para resolvedores que não sejam o de proteção, o que fecha a rota de desvio. Antes da alteração, registam 30 dias de dados de linha de base por sessão e o volume de consultas DNS.

Resultado mensurável. O hotel passa a ter apenas um fornecedor na rede de convidados em vez dos dois propostos. Não precisa de novo hardware nem de uma consola adicional para o gerente de turno. A equipa compara os dados por sessão e o volume de consultas DNS com a linha de base de 30 dias. Analisam os resultados face aos intervalos publicados pela Purple de até menos 44% de dados e menos 62% de consultas DNS. Os relatórios de filtragem ficam disponíveis ao lado das análises de início de sessão que a equipa de marketing já analisa.

Cenário prático: uma cadeia de retalho com 40 lojas

Situação. Um retalhista de moda oferece WiFi para clientes em 40 lojas. Várias lojas funcionam com ligações de banda larga reduzidas que também suportam terminais de pagamento e sistemas de stock. O tráfego de convidados está isolado na sua própria VLAN, um segmento de rede virtual, em conformidade com as orientações de segmentação da PCI DSS. Mesmo assim, o tráfego pesado de anúncios proveniente dos dispositivos dos clientes compete pela mesma capacidade de tráfego ascendente.

O que foi feito. O retalhista ativa o Shield em todos os SSIDs das 40 lojas a partir de uma única política da Purple. Ativa a proteção contra ameaças e o bloqueio de anúncios para todos os locais. A sede define uma política de conteúdos única em vez de configurar cada loja individualmente.

Resultado mensurável. Cada loja regista o tráfego web na VLAN de clientes antes e depois da alteração. O retalhista mede o resultado face aos valores da Purple de menos 20 a 40% de tráfego web com o bloqueio de anúncios. A política é implementada a partir de um único painel de controlo, sem necessidade de deslocações a qualquer loja e sem novo hardware.

Quando é que o DNSFilter é a opção certa?

O DNSFilter é a opção certa quando o seu problema é o dispositivo e não a rede do local. Escolha-o quando a maioria destas condições se verificar:

• Gestão de uma frota de computadores portáteis, tablets ou telemóveis que trabalham a partir de casa, em instalações de clientes ou com dados móveis.
• O seu WiFi de convidados não é executado na Purple e pretende um DNS de proteção de um especialista.
• É um MSP que gere muitas organizações de clientes de pequena dimensão e pretende uma consola multi-tenant única.
• Valoriza preços publicados por utilizador para um número estável de funcionários.
• Pretende a velocidade do resolvedor e a categorização por machine learning como os principais critérios de compra.

Em cada um destes casos, o cliente em roaming é o fator decisivo. O Shield protege os dispositivos enquanto estes estão no seu WiFi. Os clientes em roaming do DNSFilter continuam a proteger um dispositivo gerido depois de este sair do local.

Cenário prático: uma câmara municipal com bibliotecas e pessoal remoto

Situação. Um conselho municipal disponibiliza WiFi público em 12 bibliotecas e centros comunitários através do Purple. Também atribui computadores portáteis a 300 colaboradores que dividem a sua semana entre o escritório e de casa. O responsável pela segurança do conselho pretende filtragem no WiFi público e nos computadores portáteis dos colaboradores, onde quer que se liguem.

O que foi feito. O conselho ativa o Shield nos SSIDs públicos das bibliotecas, onde os visitantes trazem os seus próprios dispositivos. Nos computadores portáteis dos colaboradores, implementa um cliente DNS de roaming de um fornecedor especializado como o DNSFilter. Os organismos públicos do Reino Unido também devem verificar a elegibilidade para o serviço Protective DNS do NCSC antes de adquirirem um para dispositivos corporativos. Em Inglaterra, as bibliotecas do conselho também reveem a filtragem face às suas próprias políticas de proteção.

Resultado mensurável. O conselho mede a cobertura diretamente. Regista a percentagem de computadores portáteis geridos que reportam um cliente de roaming filtrado, tendo como objetivo a totalidade dos dispositivos atribuídos. A filtragem do WiFi público reside no mesmo painel do Purple que as análises de acesso das bibliotecas. O conselho opera duas consolas, mas cada uma está ajustada a uma tarefa diferente, em vez de um único produto forçado a desempenhar ambas.

Onde se enquadra o Cisco Umbrella?

O Cisco Umbrella é o terceiro nome na maioria das listas de opções e merece uma avaliação justa. A sua segurança ao nível do DNS é uma parte do portfólio de segurança mais amplo da Cisco. Esse portfólio também inclui um secure web gateway e capacidades de firewall fornecidas na nuvem. As redes Cisco Meraki integram-se com o Umbrella, e o Cisco Secure Client oferece cobertura de roaming para dispositivos geridos.

O Umbrella adequa-se a infraestruturas já normalizadas na segurança Cisco. Nestas, o DNS de proteção encaixa-se nas políticas, registos e contratos que já possui. No entanto, visto a partir da plataforma WiFi, continua a ser uma solução separada. Tem o seu próprio painel, as suas próprias licenças e o seu próprio ciclo de renovação. Para o WiFi de convidados no Purple, aplica-se o mesmo argumento nativo da plataforma como no DNSFilter.

Quanto custa gerir cada opção?

O preço da licença é o custo visível. O custo de funcionamento reflete-se na aquisição, configuração, operação diária e renovação. Nem o DNSFilter nem o Cisco Umbrella são dispendiosos de implementar a nível técnico. A diferença reside em quantos processos adiciona à sua infraestrutura.

Linha de custo	Shield	DNSFilter	Cisco Umbrella
Licença	Suplemento ao seu plano Purple	Escalões mensais por utilizador	Licença de pacote da Cisco ou de um parceiro
Aquisição	Alteração ao seu contrato Purple existente	Integração de novo fornecedor e análise de segurança	Novo contrato, a menos que já possua licenças do Umbrella
Configuração do local	Ativar no painel do Purple	Apontar o DNS do local para o DNSFilter e identificar o local	Apontar o DNS do local para o Umbrella e registar a rede
Operação diária	Um painel com as suas análises de WiFi	Segunda consola ao lado da sua plataforma WiFi	Segunda consola, partilhada com outras ferramentas de segurança Cisco
Formação da equipa	Competências existentes no painel do Purple	Novas competências de consola	Novas competências de consola
Documentação de processamento de dados	Coberta pelo seu contrato Purple existente	Novo acordo de processamento de dados	Novo acordo, exceto se já existente
Renovação	Uma renovação	Renovação em separado	Renovação em separado

A questão dos dispositivos de convidados

O preço por licença funciona bem para um número conhecido de colaboradores. No WiFi de convidados, o número de dispositivos muda todos os dias. Um hotel ou uma estação pode registar muito mais dispositivos distintos num mês do que o número de colaboradores que possui. Pergunte à DNSFilter por escrito como contabiliza os convidados numa rede pública. Em seguida, compare os orçamentos com a mesma base: número de locais, número de SSIDs e dispositivos mensais previstos.

Custos operacionais ocultos

Fique atento a três custos que raramente aparecem num orçamento:

1. Identificação do local. Os resolvers autónomos precisam de saber de que rede veio uma consulta. Os locais com endereços IP públicos dinâmicos podem precisar de um atualizador ou agente local.
2. Correlação de incidentes. Quando um convidado se queixa de que um site está bloqueado, a equipa deve verificar a consola DNS e a plataforma WiFi separadamente.
3. Gestão de fornecedores. Cada fornecedor adiciona um questionário de segurança, um acordo de processamento de dados e uma data de renovação ao seu calendário.

O Shield elimina todos os três para a rede de convidados porque é executado dentro da plataforma que já opera. Não os elimina para portáteis de colaboradores fora do local, porque não cobre esses dispositivos.

Como decidir para a sua infraestrutura?

Comece pelos seus dispositivos e não pelas listas de funcionalidades. Mapeie o que precisa de proteger, onde se liga e quem o gere. Em seguida, utilize a matriz abaixo.

A sua situação	Opção recomendada	Porquê
WiFi de convidados no Purple, sem dispositivos fora do local para cobrir	Shield	Um fornecedor, uma fatura, um painel de controlo
WiFi de convidados no Purple e portáteis geridos que vão para casa	Shield nos SSIDs de convidados, DNSFilter ou Umbrella nos portáteis	Cada ferramenta cobre a área para a qual foi construída
Sem Purple, apenas frota de colaboradores gerida	DNSFilter	Os clientes em roaming e o preço publicado por licença adequam-se
Infraestrutura de segurança padronizada na Cisco, Umbrella já licenciado	Cisco Umbrella para dispositivos geridos	A política permanece dentro da sua pilha de segurança Cisco
MSP que serve muitos escritórios pequenos sem WiFi de convidados	DNSFilter	Consola multilocatário construída para operações de MSP
Espaços com banda larga limitada no Purple	Shield com bloqueio de anúncios	Dados Purple: 20 a 40% menos tráfego web

Uma avaliação em cinco passos

1. Inventariar dispositivos. Divida-os em convidados e geridos, e no local e em roaming. A divisão geralmente decide a resposta antes de qualquer demonstração.
2. Piloto num SSID. Execute um piloto de 30 dias numa única rede de convidados. Se também estiver a avaliar o DNSFilter, faça um piloto num local comparável durante o mesmo período.
3. Medir o que é importante para si. Registe ameaças bloqueadas, falsos positivos comunicados por convidados, tempos de carregamento de páginas e dados por sessão. Compare cada um com uma linha de base pré-piloto.
4. Verifique o tratamento de dados. Confirme onde os registos de DNS são armazenados, durante quanto tempo são mantidos e quem os pode ver. Ao abrigo do GDPR, os registos de consultas podem ser dados pessoais quando associados a uma pessoa identificável.
5. Compare o custo total. Coloque os custos de licença, aquisição, formação e esforço de renovação lado a lado na mesma base.

Se ainda está a elaborar uma lista de opções mais alargada, a nossa análise sobre software de proteção contra phishing para WiFi partilhado abrange 10 opções. Para saber mais sobre como executar o DNS de proteção do Purple, comece no centro do Shield ou consulte todos os guias.

Perguntas frequentes

Como se compara o Shield ao DNSFilter?

O Shield e o DNSFilter bloqueiam ambos ameaças e conteúdos indesejados na consulta DNS; a diferença reside no modelo operacional. O Shield é um módulo adicional à plataforma de Guest WiFi do Purple. Gere-o no mesmo painel de controlo que os seus SSIDs, Captive Portal e analítica, numa única fatura. O DNSFilter é um serviço autónomo com a sua própria consola, contrato e clientes de roaming. O Shield adequa-se a locais que utilizam o Purple; o DNSFilter adequa-se a dispositivos geridos que saem da sua rede.

Existe uma alternativa ao DNSFilter para guest WiFi?

Sim. Se o seu guest WiFi funciona no Purple, o Shield adiciona DNS de proteção, filtragem de conteúdos e bloqueio de anúncios sem necessidade de um novo contrato de resolutor ou novo hardware. O Cisco Umbrella é outra alternativa, mais adequada a infraestruturas já padronizadas com a segurança da Cisco. Os três filtram no mesmo ponto, na consulta DNS antes de qualquer ligação ser aberta. Compare-os com base na forma como se adaptam à plataforma WiFi que já utiliza.

O DNSFilter bloqueia anúncios?

Sim, o DNSFilter pode bloquear domínios publicitários através das suas políticas de filtragem por categorias de conteúdo. Aplica o bloqueio de anúncios na consola do DNSFilter como qualquer outra categoria bloqueada. Verifique a lista de categorias atual do DNSFilter para obter os nomes exatos. O Shield inclui o bloqueio de anúncios de raiz. Os dados do próprio Purple mostram carregamentos de páginas até 500% mais rápidos e até menos 44% de dados, o que é relevante em locais com largura de banda limitada.

Preciso de novo hardware para executar o Shield?

Não. O Shield funciona na camada de DNS, pelo que não necessita de equipamento físico nem de agente nos dispositivos dos visitantes. O Purple é agnóstico relativamente ao hardware e funciona como um overlay na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Ativa o Shield a partir do painel do Purple e aplica a política às redes de convidados que já gere.

Podemos mudar o guest WiFi do DNSFilter para o Shield?

Sim, e trata-se de uma alteração de configuração em vez de um projeto de hardware. Os dispositivos de visitantes utilizam o resolutor fornecido pela sua rede, pelo que a migração de SSIDs de convidados para o Shield altera o destino dessas consultas. Faça um teste piloto do Shield num SSID, compare os relatórios de bloqueio e os carregamentos de páginas e, em seguida, migre os restantes locais. Mantenha os clientes de roaming do DNSFilter nos dispositivos geridos da equipa se ainda precisar de cobertura fora do local.

Como são tratados os registos de DNS ao abrigo do GDPR?

Trate os registos de consultas DNS como dados pessoais sempre que estes estejam associados a uma pessoa identificável, e conserve-os apenas pelo tempo necessário. A Purple possui certificação ISO 27001 e está em conformidade com o GDPR. Os dados do Shield residem na mesma plataforma que já processa os seus dados de WiFi de convidados. Com um serviço autónomo, adicione o fornecedor de DNS aos seus registos de atividades de tratamento e assine um acordo de tratamento de dados separado.

Qual é o melhor DNS de proteção para WiFi público?

O melhor DNS de proteção para WiFi público é aquele que se adéqua à forma como já gere a rede. Na Purple, o Shield elimina um segundo fornecedor, consola e fatura. Para dispositivos geridos que efetuem roaming, os clientes do DNSFilter adaptam-se melhor. Para propriedades padronizadas na segurança Cisco, o Cisco Umbrella mantém as políticas num único ecossistema. Combine qualquer um deles com regras de firewall que impeçam os dispositivos de contornar o seu resolvedor.

Como é estruturado o preço do Shield em comparação com o DNSFilter?

O Shield é um suplemento à sua subscrição Purple, pelo que é apresentado na fatura que já paga. O DNSFilter publica escalões mensais por utilizador num contrato separado, o que proporciona custos previsíveis para uma contagem de funcionários conhecida. No WiFi de convidados, o número de dispositivos muda diariamente. Pergunte ao DNSFilter por escrito como é feita a contagem de convidados e, em seguida, compare ambos os orçamentos com base nos mesmos critérios.