Che cos’è il filtraggio DNS e come funziona?

Ogni interazione web moderna inizia con una traduzione dell'indirizzo. Quando un dipendente clicca su un link contenuto in un'e-mail o digita un URL nella barra degli indirizzi, il dispositivo client deve innanzitutto tradurre quell'etichetta di facile comprensione in un indirizzo IP instradabile.

Gli autori degli attacchi sfruttano questa dipendenza fondamentale in ogni fase di un'intrusione. Gli attori malintenzionati utilizzano nomi host appena creati per la raccolta di credenziali, configurano domini algoritmici per coordinare le botnet e stabiliscono canali in uscita per sottrarre dati da database proprietari.

L'implementazione del filtraggio DNS offre alle organizzazioni un perimetro difensivo efficiente e precoce. Valutando le richieste di destinazione durante la fase di ricerca, anziché dopo l'avvio del download dei file, i team possono neutralizzare gravi minacce provenienti da Internet prima che i payload raggiungano gli endpoint.

Che cos’è il filtraggio DNS?

Il filtraggio DNS è una misura di sicurezza che analizza le query del Domain Name System per bloccare l'accesso a nomi host dannosi, non autorizzati o che violano le politiche aziendali prima che venga stabilita una connessione a Internet. Confrontando i risultati delle ricerche con i database delle minacce e le categorie di utilizzo consentito, impedisce ai dispositivi di raggiungere siti web dannosi.

Questo controllo opera a livello delle fondamenta applicative e di routing di Internet. Poiché le decisioni relative all'accesso vengono prese durante la risoluzione dei nomi host, gli utenti non caricano mai script dannosi, non vengono mai indirizzati a pagine di destinazione di phishing né avviano mai handshake con infrastrutture remote non autorizzate.

Come funziona il filtraggio DNS

Il Domain Name System funge da servizio di directory principale di Internet, traducendo nomi host come example.com in indirizzi numerici quali 192.0.2.1. Ogni volta che un endpoint avvia una richiesta di rete, invia una query di ricerca a un resolver ricorsivo designato. Se stai approfondendo i meccanismi fondamentali della rete, la nostra analisi completa su cos’è un server DNS spiega come questi sistemi gestiscono le ricerche.

In un ambiente di rete standard privo di filtri di protezione, il resolver ricerca i record autorevoli nella gerarchia di Internet e restituisce direttamente l'indirizzo IP effettivo al client richiedente.

Quando il filtraggio DNS è abilitato, il resolver ricorsivo introduce un punto di controllo automatico nel ciclo di vita standard della risoluzione:

1. Invio della richiesta: Il dispositivo dell'utente o il software in background invia una richiesta di ricerca per un nome di dominio di destinazione.
2. Valutazione delle politiche e delle informazioni: Anziché interrogare immediatamente i server autoritativi a monte, il resolver di filtraggio effettua un controllo incrociato del nome host richiesto con le politiche organizzative predefinite, i cataloghi per categoria e i feed di intelligence sulle minacce in tempo reale.
3. Instradamento delle risoluzioni:
   • Destinazione consentita: Se il dominio viene verificato come innocuo e conforme alle regole di utilizzo accettabile, il resolver risolve la query normalmente e restituisce al client l'indirizzo IP legittimo.
   • Destinazione vietata o dannosa: Se il record richiesto corrisponde a un feed di minacce o a una categoria soggetta a restrizioni, il resolver nasconde l'indirizzo effettivo. Restituisce un indirizzo di loopback, una risposta NXDOMAIN (dominio inesistente) o l'indirizzo IP di una pagina di blocco esplicativa che informa l'utente del motivo per cui la destinazione è stata limitata. Poiché non viene fornito alcun percorso valido verso l'host dannoso, il computer client non avvia mai una connessione di rete.

Elenchi di blocchi ed elenchi di autorizzazioni

Al livello amministrativo più semplice, il filtraggio DNS si basa su elenchi di siti consentiti e di siti bloccati espliciti.

• Elenchi di autorizzazione (Regole di autorizzazione): Queste garantiscono una rigorosa priorità amministrativa, assicurando che le applicazioni aziendali essenziali, i portali clienti e le risorse interne rimangano accessibili indipendentemente da regole di categorizzazione automatizzate particolarmente restrittive.
• Elenchi di blocco (regole di rifiuto): Si tratta di elenchi statici che raccolgono indirizzi noti come dannosi, domini di primo livello ad alto rischio, host che ospitano materiale piratato o domini segnalati dai team di conformità aziendali. Sebbene le liste di blocco garantiscano un'intercettazione rapida e decisiva, il fatto che si basino su indicatori storici espone le reti a campagne web instabili e in rapida evoluzione.

Filtraggio per categoria

Il filtraggio basato sulle categorie consente ai team di sicurezza di regolare interi segmenti del web senza dover individuare manualmente i singoli nomi di dominio. I motori di servizio classificano i domini in categorie strutturate, quali intrattenimento per adulti, gioco d’azzardo illegale, hub di streaming ad alta larghezza di banda, condivisione di file peer-to-peer, piattaforme social e nomi di host recentemente individuati.

I responsabili di rete configurano regole di accesso uniformi che rispecchiano i requisiti organizzativi. Un’azienda può limitare l’archiviazione di contenuti multimediali personali e lo streaming video durante i turni di lavoro per preservare la larghezza di banda della rete. Allo stesso tempo, le organizzazioni possono applicare rigide politiche di “igiene web” su tutte le risorse aziendali per garantire la conformità agli standard operativi e alle normative regionali in materia di ambiente di lavoro.

Informazioni sulle minacce in tempo reale

Gli avversari moderni raramente lasciano online le risorse web statiche abbastanza a lungo da consentire alle liste di blocco manuali di individuarle. Gli autori di attacchi di phishing utilizzano motori di campagna dinamici e automatizzati, mentre le famiglie di malware avanzate impiegano algoritmi di generazione di domini (DGA) per scorrere ogni giorno migliaia di domini generati algoritmicamente, al fine di individuare infrastrutture di comando e controllo funzionanti.

Per contrastare i vettori di tipo fluido, le moderne soluzioni di filtraggio integrano flussi continui di informazioni sulle minacce:

• Domini di nuova registrazione (NRD): Gli autori delle minacce acquistano spesso nomi di dominio, configurano certificati e lanciano attacchi distruttivi via e-mail nel giro di poche ore. Limitare l’accesso ai domini creati nelle ultime ventiquattro-settantadue ore blocca le campagne dannose prima ancora che le piattaforme di reputazione abbiano avuto modo di valutarle.
• Rilevamento algoritmico: Analizzando i modelli lessicali, la casualità dei caratteri e i picchi di query, i resolver intelligenti rilevano e intercettano al volo i nomi di dominio generati automaticamente.
• Feed contestuali sul phishing: Pipeline di dati continue monitorano le campagne di raccolta delle credenziali, le infrastrutture di destinazione dannose e i domini fraudolenti, aggiornando i motori di risoluzione ogni pochi minuti per intercettare i clic dannosi degli utenti.

Da cosa protegge il filtraggio DNS

Poiché la risoluzione avviene prima delle sessioni delle applicazioni, il filtraggio neutralizza una vasta gamma di rischi moderni legati alla sicurezza informatica. Esaminando il catalogo più ampio dei tipi di attacchi DNS dimostra quanto sia essenziale una solida gestione dei domini per la resilienza del perimetro.

Siti di phishing e programmi per il furto di credenziali

Il phishing rimane la principale via di accesso per la compromissione delle credenziali e l’intrusione iniziale nelle reti aziendali. Gli autori degli attacchi inviano notifiche fraudolente che indirizzano i destinatari verso portali contraffatti, progettati per raccogliere chiavi di autenticazione, sessioni e password. Il filtraggio DNS identifica le destinazioni dannose e restituisce una pagina di blocco amministrativa, impedendo ai dipendenti di inserire le credenziali dell’account anche nel caso in cui un’e-mail ingannevole riesca a eludere le difese perimetrali della casella di posta in arrivo.

Distribuzione di malware e comando e controllo (C2)

I dropper eseguibili, le macro dannose e i download drive-by si basano in larga misura sulle richieste DNS in uscita per recuperare i payload di seconda fase. Inoltre, una volta che un endpoint subisce un’infezione locale, la backdoor presente al suo interno deve comunicare con i nodi di comando degli aggressori per ricevere compiti operativi e script. I resolver di filtraggio bloccano le richieste di ricerca dirette verso nodi C2 noti, impedendo di fatto al binario dannoso di insediarsi prima che possa stabilire un punto d’appoggio.

Callback dei ransomware

Prima di crittografare i file locali, le moderne varianti di ransomware inviano spesso richieste di ping agli host di gestione remota per verificare il corretto rilevamento della rete, scambiare le chiavi di crittografia e coordinare la preparazione dei dati. Impedire la risoluzione dei domini utilizzati per lo scambio delle chiavi spesso blocca completamente il processo di crittografia, concedendo al personale addetto alla sicurezza tempo prezioso per individuare la macchina infetta e isolarla dallo storage aziendale condiviso.

Sfruttamento del tunneling DNS

Gli autori di malware sfruttano regolarmente la porta 53 per sottrarre dati rubati e trasmettere informazioni operative nascoste all’interno di query di ricerca ricorsive. Poiché i firewall convenzionali lasciano aperta la porta 53 per evitare interruzioni operative, le query non controllate passano facilmente senza alcuna restrizione. I resolver di sicurezza specializzati rilevano lunghezze anomale delle query, stringhe di caratteri ad alta entropia e frequenze di ricerca irregolari, bloccando sul nascere i tentativi di furto di dati.

Spoofing DNS e minacce all'infrastruttura

Gli aggressori prendono di mira anche i percorsi di risoluzione non protetti per avvelenare le cache locali e reindirizzare il traffico web verso destinazioni fraudolente. Comprendere i rischi strutturali del spoofing del DNS mette in evidenza perché la verifica dell’autenticità dei domini e la combinazione di resolver di filtraggio con meccanismi di firma crittografica siano essenziali per la stabilità operativa a lungo termine.

Vantaggi del filtraggio DNS

L'integrazione dei filtri di risoluzione offre diversi vantaggi funzionali immediati rispetto agli agenti di ispezione degli endpoint, più pesanti, e alle apparecchiature firewall convenzionali. Seguendo le migliori pratiche di sicurezza DNS aiuta le reti a ottenere i seguenti vantaggi operativi:

• Neutralizzazione delle minacce prima della connessione: I tradizionali programmi antivirus segnalano i file dannosi solo dopo che i pacchetti sono arrivati sul disco rigido fisico. Il filtraggio DNS agisce prima che venga completato qualsiasi handshake TCP o TLS, garantendo che il codice dannoso non entri mai nei buffer di memoria locali.
• Visibilità totale della rete e copertura dei dispositivi: Il controllo protegge ogni dispositivo che instrada il traffico attraverso il resolver designato. Ciò garantisce una copertura senza soluzione di continuità per i dispositivi smart da ufficio, la tecnologia operativa, gli utenti wireless ospiti e l’hardware legacy non in grado di ospitare software commerciali di rilevamento degli endpoint.
• Latenza e overhead trascurabili: La valutazione di una ricerca di dominio leggera richiede pochi millisecondi. A differenza dei dispositivi di ispezione approfondita dei pacchetti che ricostruiscono sessioni web di grandi dimensioni, le ricerche tramite resolver mantengono prestazioni elevate senza introdurre ritardi percepibili nella navigazione.
• Implementazione semplice della rete: Per deviare il traffico verso un resolver difensivo è sufficiente aggiornare le impostazioni DHCP o modificare le assegnazioni dei server dei nomi primari sui router perimetrali, rendendo possibile l'implementazione a livello aziendale in pochi minuti.
• Registri di audit e telemetria di grande valore: La registrazione centralizzata delle risoluzioni fornisce registrazioni diagnostiche chiare di ogni richiesta relativa alle risorse in uscita. Gli analisti della sicurezza possono isolare rapidamente gli endpoint infetti, individuare strumenti web di "shadow IT" e monitorare le tendenze di conformità aziendale in tutto il parco tecnologico.

Limiti da tenere in considerazione

Sebbene il filtraggio DNS offra un’ampia copertura protettiva, i progettisti di rete dovrebbero tener conto dei suoi limiti strutturali per evitare di creare punti ciechi.

• Elusione dei resolver crittografati (DoH e DoT): I moderni browser web e sistemi operativi supportano sempre più spesso i protocolli di risoluzione crittografati. Quando il software client utilizza resolver esterni di terze parti tramite DNS over HTTPS o DNS over TLS, i punti di filtraggio di rete standard perdono la visibilità sui contenuti delle query. Per garantire la sicurezza degli ambienti gestiti è necessario applicare politiche di risoluzione interne e limitare le connessioni in uscita non approvate verso provider esterni.
• Connessioni tramite indirizzo IP diretto: Il filtraggio opera esclusivamente sui nomi di dominio. Se un malintenzionato configura un payload dannoso o un implant C2 in modo che si colleghi direttamente a un indirizzo IP pubblico assoluto (come ad esempio 203.0.113.50), il dispositivo client aggira completamente le fasi di ricerca DNS, rendendo necessari controlli sugli endpoint e firewall tradizionali per intercettare la sessione.
• Assenza di ispezione del payload: Un resolver protettivo rileva i nomi host di destinazione, non i singoli percorsi, i parametri di query o il contenuto dei file. Se un criminale informatico ospita un file dannoso all’interno di un ecosistema pubblico condiviso e per il resto legittimo, come Google Drive o GitHub, un filtro DNS deve consentire l’accesso all’intero dominio oppure bloccarlo completamente.
• Falsi positivi operativi: Regole di classificazione troppo restrittive e soglie automatiche relative all'età dei domini possono occasionalmente bloccare siti aziendali innocui o nuovi portali dei partner. I team di sicurezza necessitano di protocolli di esclusione reattivi per ripristinare senza indugio le connessioni legittime del flusso di lavoro.

Filtraggio DNS, filtraggio web e firewall

Le architetture di sicurezza spesso combinano più livelli di protezione che si sovrappongono. Comprendere in che modo ciascun livello esamina il traffico di rete aiuta i team a eliminare costose ridondanze infrastrutturali.

Architetture di implementazione

Le organizzazioni possono scegliere tra diversi modelli di implementazione in base alla mobilità del personale e ai requisiti dell'infrastruttura fisica.

Resolver basati su cloud

Le architetture basate sul cloud rappresentano il modello di implementazione più diffuso negli ambienti aziendali moderni. L’azienda indirizza i propri forwarder a monte verso reti di risoluzione anycast gestite da un fornitore di soluzioni di sicurezza dedicato. Il fornitore gestisce i feed sulle minacce, aggiorna le classificazioni per categoria e risolve le richieste di ricerca da punti di presenza globali, sollevando il personale IT locale dagli oneri legati alla manutenzione dell’hardware.

Resolver e dispositivi on-premises

Le istituzioni ad alta sicurezza, le organizzazioni governative e le imprese finanziarie soggette a una rigorosa regolamentazione utilizzano spesso resolver di cache dedicati e installati in loco. In questo modello di implementazione, gli appliance fisici o le macchine virtuali locali gestiscono le ricerche interne, applicando le politiche locali e i record delle minacce memorizzati nella cache prima di interrogare i server root a monte. Ciò garantisce il controllo totale sui record delle query sensibili.

Agenti endpoint in roaming

Il passaggio al lavoro da remoto e ibrido comporta che i laptop aziendali operino abitualmente al di fuori del perimetro dei router degli uffici. Gli agenti di roaming sono utilità software leggere installate sugli endpoint gestiti per intercettare le schede di rete locali. Garantiscono che tutte le query DNS vengano instradate attraverso la politica di risoluzione difensiva dell’organizzazione, indipendentemente dal fatto che l’utente si connetta da un campus aziendale, da una rete residenziale o da un punto di accesso pubblico non protetto.

Integrazione di router e gateway

I piccoli uffici, le filiali e i punti vendita spesso applicano le misure di sicurezza direttamente a livello di gateway perimetrale. Gli amministratori configurano il firmware dei router locali in modo da distribuire resolver ricorsivi difensivi tramite leas DHCP. Ogni telefono, postazione di lavoro, terminale POS e smartphone degli ospiti che si connette alla rete Wi-Fi locale beneficia automaticamente della protezione senza necessità di configurazione manuale.

Come scegliere un servizio di filtraggio DNS

Per scegliere una soluzione efficace è necessario valutare le capacità tecnologiche fondamentali, al di là delle affermazioni di marketing. I team di sicurezza e i responsabili degli acquisti dovrebbero tenere in considerazione i seguenti criteri tecnici:

1. Ampiezza e accuratezza delle informazioni sulle minacce: Verificate da dove il fornitore ricava i propri dati. Le piattaforme leader combinano algoritmi di rilevamento proprietari, modelli di apprendimento automatico e feed commerciali per identificare nomi host appena registrati, domini fast-flux e vettori di phishing senza generare falsi positivi che possano causare interruzioni. Le linee guida congiunte pubblicate dalla Cybersecurity and Infrastructure Security Agency delinea le funzionalità essenziali per valutare l’architettura DNS protettiva e la scelta del provider.
2. Categorizzazione dinamica dei contenuti: Verificare la completezza del catalogo del fornitore. Le soluzioni devono classificare milioni di domini in decine di argomenti contestuali, elaborando rapidamente e in tempo reale le pagine Internet appena individuate.
3. Supporto per client in roaming e dispositivi mobili: Verificare che il servizio fornisca agenti leggeri per tutti i sistemi operativi richiesti (Windows, macOS, Linux, iOS, Android) al fine di garantire una protezione uniforme in tutti i team distribuiti.
4. Gestione dei protocolli crittografati: Verificare se la soluzione supporti e regoli il DNS su HTTPS (DoH) e il DNS su TLS (DoT), impedendo agli endpoint di eludere le regole di filtraggio.
5. Integrazione SIEM e reportistica granulare: Gli analisti di sicurezza aziendale necessitano dell’acquisizione in tempo reale dei log tramite syslog, webhook o bucket S3 per incrociare gli avvisi di risoluzione con le piattaforme centrali di gestione delle informazioni e degli eventi di sicurezza (SIEM).
6. Architettura multi-tenant per i fornitori di servizi: I fornitori di servizi gestiti (MSP) necessitano di dashboard centralizzate, controllo degli accessi basato sui ruoli, isolamento dei tenant e moduli di fatturazione personalizzati per gestire in modo efficiente più ambienti dei clienti.
7. Resilienza delle infrastrutture e instradamento Anycast: Verificate la copertura della rete globale del provider, cercando punti di presenza Anycast distribuiti geograficamente che garantiscano zero tempi di inattività e prestazioni di ricerca ottimali.

Filtraggio DNS e sicurezza della posta elettronica: una difesa a più livelli

Il filtraggio DNS e l'autenticazione delle e-mail operano ai due estremi opposti, ma complementari, del perimetro di attacco dell'organizzazione.

Il filtraggio DNS protegge il personale quando effettua connessioni esterne. Quando un dipendente clicca accidentalmente su un URL ingannevole contenuto in un’e-mail mirata, il resolver di filtraggio intercetta la ricerca, interrompendo la connessione prima che la pagina di phishing possa sottrarre le credenziali aziendali o installare spyware.

Tuttavia, il filtraggio in uscita non è in grado di proteggere i vostri clienti, i vostri partner e la reputazione della vostra azienda da soggetti malintenzionati che si spacciano per voi. I criminali falsificano regolarmente domini aziendali legittimi per inviare richieste convincenti di reindirizzamento dei pagamenti, spacciarsi per dirigenti e minare la fiducia dei clienti.

Per impedire lo spoofing dei domini è necessario implementare protocolli in entrata autorevoli:

• SPF (Sender Policy Framework): Indica quali indirizzi IP e quali agenti di trasferimento della posta sono autorizzati a inviare e-mail per conto del tuo dominio.
• DKIM (DomainKeys Identified Mail): Aggiunge firme digitali crittografiche ai messaggi in uscita, verificando che il contenuto dei messaggi non sia stato alterato durante il trasferimento.
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): Unisce SPF e DKIM in un'unica politica applicabile, che impone ai gateway di posta in ricezione di respingere i messaggi non autorizzati che utilizzano il nome del vostro marchio.

Mentre il filtraggio DNS protegge i tuoi dipendenti da destinazioni dannose presenti su Internet in generale, l’implementazione DMARC ospitato garantisce che i mittenti non autorizzati non possano sfruttare il tuo dominio per attaccare soggetti esterni. Una vera resilienza del dominio richiede il controllo sia di ciò che i tuoi utenti interni risolvono, sia di ciò che i server di posta globali accettano a tuo nome.

Domande frequenti

Il filtraggio DNS è efficace contro le minacce moderne?

Sì. Le ricerche indicano che la stragrande maggioranza delle varianti di malware e delle campagne di phishing si avvale del Domain Name System in una fase qualsiasi del ciclo di vita dell’attacco per individuare i server, convalidare le connessioni o scaricare i payload. Bloccare le minacce al confine di risoluzione riduce drasticamente la superficie di attacco utilizzabile da un’azienda.

È possibile aggirare il filtro DNS?

Sì. Gli utenti esperti di tecnologia o i software dannosi possono aggirare i filtri di base a livello di rete stabilendo una connessione VPN crittografata, interrogando direttamente indirizzi IP pubblici hardcoded oppure instradando il traffico attraverso resolver DoH/DoT esterni non autorizzati. Le organizzazioni contrastano questi percorsi di aggiramento bloccando la porta 53 verso destinazioni sconosciute, limitando le porte DNS crittografate non approvate ed eseguendo agenti di roaming gestiti su tutti i dispositivi degli utenti.

Qual è la differenza tra un filtro DNS e un sinkhole DNS?

Un filtro DNS è una piattaforma operativa di sicurezza e gestione delle politiche che blocca o reindirizza le richieste di ricerca in base ad ampie categorie o classificazioni di minacce, spesso visualizzando una pagina di blocco informativa destinata agli utenti. Un sinkhole DNS è un’implementazione tecnica mirata che reindirizza il traffico proveniente da specifici domini dannosi verso un indirizzo interno non instradabile o un server di acquisizione specializzato, utilizzato principalmente dai ricercatori di sicurezza e dai team di risposta agli incidenti per individuare i computer infetti e analizzare le comunicazioni del malware.

Il filtraggio DNS rallenta la navigazione in Internet?

No. Poiché le ricerche DNS sono operazioni di piccole dimensioni basate su testo, i moderni resolver cloud dotati di reti Anycast distribuite a livello globale valutano e rispondono alle richieste in pochi millisecondi. In molti casi, passare da un resolver predefinito dell’ISP a un servizio DNS protettivo appositamente progettato migliora effettivamente le prestazioni di navigazione quotidiane grazie al routing globale ottimizzato e alla cache avanzata.

Esistono servizi gratuiti di filtraggio DNS?

Sì. Diverse organizzazioni di sicurezza e associazioni senza scopo di lucro affidabili offrono al pubblico servizi DNS protettivi gratuiti. Provider come Quad9, Cloudflare (1.1.1.2 per la protezione dal malware) e i resolver per la navigazione sicura offrono una protezione di base contro i domini dannosi noti. Tuttavia, le imprese commerciali e gli MSP in genere passano a piattaforme a pagamento per accedere a controlli amministrativi granulari per categoria, client endpoint in roaming, integrazione attiva con Active Directory e registrazione degli audit SIEM a lungo termine.

Parole finali

Il filtraggio DNS rappresenta un primo livello indispensabile per la sicurezza perimetrale moderna. Intercettando le connessioni nella fase di risoluzione, le organizzazioni proteggono il personale dai siti di destinazione del phishing, bloccano le comunicazioni del malware e mantengono il controllo sull’attività di rete in ambienti operativi distribuiti.

Senza un monitoraggio regolare, piccole modifiche alla configurazione, record DNS non autorizzati o puntatori obsoleti possono esporre il tuo dominio al rischio di dirottamento e spoofing delle e-mail. Il nostro sistema automatizzato soluzione automatizzata ti aiuta a tenere traccia delle modifiche al DNS in tempo reale, a rilevare attività sospette e a proteggere il tuo dominio da modifiche non autorizzate.