Proteger o seu DNS: porquê e como
Antes de cada visita a um site, o seu dispositivo consulta uma lista telefónica, o DNS. Escolher um resolvedor que filtre os domínios perigosos e cifre os pedidos é uma das proteções mais simples de implementar.
Equipa editorial Kayzen Security4 min de leitura
O DNS em duas frases
Quando escreve o nome de um site, o seu computador pede a um servidor chamado resolvedor DNS o endereço IP correspondente. Por predefinição, esse resolvedor é muitas vezes o do seu fornecedor de acesso à Internet, e as trocas circulam em claro.
Como esta etapa precede qualquer ligação, é um ponto de controlo ideal: um resolvedor que conheça os domínios de phishing ou de software malicioso pode impedir a ligação antes mesmo de ela acontecer.
O que a filtragem DNS bloqueia, e o que não bloqueia
Um resolvedor com filtragem compara cada domínio pedido com listas de ameaças atualizadas continuamente. Se o domínio for conhecido como perigoso, devolve uma resposta de bloqueio ou uma página explicativa.
- Bloqueia: os domínios de phishing já referenciados, os servidores de comando de software malicioso conhecidos, as categorias que escolher (conteúdos para adultos num lar, por exemplo).
- Não bloqueia: um site armadilhado acabado de criar e ainda desconhecido das listas, um ficheiro malicioso recebido numa pen USB, uma burla por telefone.
- Pode ser contornado: um utilizador experiente pode mudar de resolvedor, exceto se o dispositivo for gerido e a definição estiver bloqueada.
Cifrar os pedidos: DoH e DoT
Duas normas públicas cifram as trocas com o resolvedor: DNS over HTTPS (RFC 8484) e DNS over TLS (RFC 7858). Numa rede Wi-Fi pública, impedem que um terceiro veja os sites pedidos ou falsifique as respostas.
Os sistemas recentes (Windows 11, macOS, iOS, Android) e os principais navegadores sabem utilizar um resolvedor cifrado. Atenção: um navegador configurado com o seu próprio resolvedor ignora a filtragem configurada no sistema.
Implementar um DNS protetor: os passos
- Lar: configure um resolvedor com filtragem no seu router se este o permitir, ou em cada dispositivo (definição «DNS privado» no Android, perfil de configuração no iPhone e no Mac).
- Microempresa: prefira uma solução gerida de forma centralizada, que aplique a mesma política a todos os postos, incluindo fora do escritório, e que assinale as tentativas de contorno.
- Verifique o resultado: um domínio de teste fornecido pelo seu resolvedor deve ser bloqueado; os sites habituais devem funcionar normalmente.
- Documente a escolha (que resolvedor, que categorias bloqueadas): na empresa, informe os trabalhadores, uma vez que a filtragem se enquadra na carta de utilização informática.
Questões de confidencialidade
O resolvedor vê a lista dos domínios consultados. Escolha um serviço que publique a sua política de conservação de registos, a sua localização e os seus subcontratantes. Na empresa, a filtragem e os respetivos registos devem respeitar o direito do trabalho e o RGPD: informação prévia dos trabalhadores, prazo de conservação limitado, acesso restrito.
Fontes oficiais
- ANSSI (novo separador) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (novo separador) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (novo separador) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (novo separador) — Commission nationale de l'informatique et des libertés
Os recursos citados são publicados pelos respetivos autores na língua original. A Kayzen não está associada a nenhum destes organismos.
Este guia é informativo e geral. Não substitui um aconselhamento jurídico nem a intervenção de um profissional de segurança informática.