Proteggere il DNS: perché e come
Prima di ogni visita a un sito, il dispositivo interroga un elenco, il DNS. Scegliere un resolver che filtri i domini pericolosi e cifri le richieste è una delle protezioni più semplici da mettere in atto.
Redazione Kayzen Security4 min di lettura
Il DNS in due frasi
Quando digitate il nome di un sito, il computer chiede a un server chiamato resolver DNS l'indirizzo IP corrispondente. Per impostazione predefinita, questo resolver è spesso quello del vostro fornitore di accesso, e gli scambi viaggiano in chiaro.
Poiché questa fase precede qualsiasi connessione, è un punto di controllo ideale: un resolver che conosce i domini di phishing o di malware può impedire la connessione prima ancora che avvenga.
Cosa blocca il filtraggio DNS, e cosa non blocca
Un resolver filtrante confronta ogni dominio richiesto con elenchi di minacce aggiornati di continuo. Se il dominio è noto come pericoloso, restituisce una risposta di blocco o una pagina esplicativa.
- Blocca: i domini di phishing già catalogati, i server di comando di malware noti, le categorie che scegliete voi (ad esempio i contenuti per adulti per una famiglia).
- Non blocca: un sito trappola appena creato e ancora sconosciuto agli elenchi, un file malevolo ricevuto tramite chiavetta USB, una truffa telefonica.
- Può essere aggirato: un utente esperto può cambiare resolver, a meno che il dispositivo non sia gestito e l'impostazione bloccata.
Cifrare le richieste: DoH e DoT
Due standard pubblici cifrano gli scambi con il resolver: DNS over HTTPS (RFC 8484) e DNS over TLS (RFC 7858). Su una rete Wi-Fi pubblica impediscono a terzi di vedere i siti richiesti o di falsificare le risposte.
I sistemi recenti (Windows 11, macOS, iOS, Android) e i principali browser sanno usare un resolver cifrato. Attenzione: un browser impostato sul proprio resolver ignora il filtraggio configurato sul sistema.
Mettere in atto un DNS protettivo: i passaggi
- Famiglia: configurate un resolver filtrante nel router di casa, se lo consente, oppure su ogni dispositivo (impostazione «DNS privato» su Android, profilo di configurazione su iPhone e Mac).
- Microimpresa: preferite una soluzione gestita in modo centralizzato, che applichi la stessa policy a tutti i computer, anche fuori ufficio, e che segnali i tentativi di aggiramento.
- Verificate il risultato: un dominio di test fornito dal vostro resolver deve risultare bloccato; i siti abituali devono funzionare normalmente.
- Documentate la scelta (quale resolver, quali categorie bloccate): in azienda, informate i dipendenti, poiché il filtraggio rientra nel regolamento informatico interno.
Questioni di riservatezza
Il resolver vede l'elenco dei domini consultati. Scegliete un servizio che pubblichi la propria politica di conservazione dei log, la propria ubicazione e i propri subfornitori. In azienda, il filtraggio e i relativi log devono rispettare il diritto del lavoro e il GDPR: informazione preventiva dei dipendenti, durata di conservazione limitata, accesso ristretto.
Fonti ufficiali
- ANSSI (nuova scheda) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (nuova scheda) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (nuova scheda) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (nuova scheda) — Commission nationale de l'informatique et des libertés
Le risorse citate sono pubblicate dai rispettivi autori nella lingua originale. Kayzen non è affiliata ad alcuno di questi enti.
Questa guida ha carattere informativo e generale. Non sostituisce né una consulenza legale né l'intervento di un professionista della sicurezza informatica.