Nethesis
NethSecurity: cosa protegge davvero il filtro DNS
Threat Shield DNS può fermare richieste verso domini presenti nelle liste di blocco, ma non sostituisce antivirus, aggiornamenti e regole aziendali. Ecco come valutarlo e provarlo senza creare disservizi.
Il controllo avviene prima del collegamento
Quando un computer apre un sito o contatta un servizio online, normalmente chiede al DNS quale indirizzo usare. Threat Shield DNS di NethSecurity interviene su questa fase e può bloccare le richieste verso domini inclusi nelle liste attive. È una protezione utile perché agisce a livello di rete, senza dover installare un componente dedicato su ogni postazione. Non va però descritta come una verifica completa del contenuto scaricato: il sistema decide in base al nome richiesto e alle informazioni disponibili nelle liste, non analizza ogni file come farebbe un prodotto specifico per gli endpoint.
Protezione dalle minacce e controllo dei contenuti
La documentazione NethSecurity distingue più meccanismi. Threat Shield DNS è orientato al blocco di domini associati a malware e a un filtraggio di base per alcune categorie; Threat Shield IP lavora sugli indirizzi, mentre DPI e FlashStart rispondono a esigenze differenti. Questa distinzione aiuta a scegliere senza sovrapporre obiettivi. Un’azienda che vuole ridurre il rischio di raggiungere domini noti come dannosi non ha necessariamente le stesse necessità di chi richiede policy dettagliate, profili differenziati e report completi sulla navigazione.
Le liste non sono tutte uguali
Threat Shield DNS può utilizzare liste mantenute dalla comunità e feed Enterprise. Le prime sono rese disponibili così come sono e non presentano una metrica di confidenza standardizzata; convenzioni, aggiornamento e licenze dipendono dai singoli fornitori. I feed Enterprise richiedono invece l’autorizzazione prevista dal servizio. Abilitare molte liste senza valutarle non garantisce automaticamente una protezione migliore: può aumentare il rischio di falsi positivi, cioè il blocco di servizi legittimi. Conviene partire da fonti adatte all’obiettivo, documentare la scelta e osservare il comportamento prima di estenderla a tutta la rete.
Un esempio pratico in un piccolo ufficio
Immaginiamo un’azienda con una rete per i PC e una separata per gli ospiti. Il responsabile decide di provare il filtro prima sulla rete ospiti, durante una finestra concordata. Verifica alcuni siti necessari, controlla che il blocco atteso funzioni e annota eventuali anomalie. Solo dopo valuta l’estensione ai PC aziendali. Se un portale indispensabile viene bloccato per errore, la documentazione prevede una allowlist locale alla quale associare anche una descrizione. L’esempio è una possibile procedura organizzativa, non una prova eseguita da System & Software né una configurazione valida per qualunque rete.
Forzare il DNS richiede attenzione
NethSecurity consente di selezionare le zone sulle quali forzare il reindirizzamento DNS verso Threat Shield. Prima di attivarlo bisogna conoscere il percorso attuale delle richieste, soprattutto quando nella rete sono presenti un dominio Windows, server DNS interni, VPN o applicazioni che risolvono nomi locali. Una modifica non pianificata può rendere irraggiungibili risorse legittime. Inoltre il filtro DNS può essere aggirato usando sistemi di risoluzione alternativi; la documentazione indica che il rischio può essere mitigato con ulteriori misure, ma queste vanno progettate e collaudate nel contesto reale, senza applicare blocchi indiscriminati.
Come gestire un blocco inatteso
Quando un servizio smette di funzionare dopo l’attivazione, non conviene disabilitare subito ogni protezione. Si raccolgono ora, dispositivo, dominio interessato e lista che ha prodotto la corrispondenza, limitando i dati personali al necessario. NethSecurity offre una funzione per verificare se un dominio compare nelle liste attive e distingue allowlist, blocklist locale e bypass per host o sottoreti. Le eccezioni devono essere ristrette, motivate e riesaminate: escludere un’intera rete per risolvere un solo dominio può lasciare una porzione troppo ampia senza il controllo previsto.
I limiti che restano
Il filtro non impedisce ogni attacco, non giudica l’affidabilità di un messaggio e non sostituisce aggiornamenti, protezione degli endpoint, backup, autenticazione robusta e formazione delle persone. Un dominio appena creato potrebbe non essere ancora classificato; un servizio legittimo può finire in una lista; applicazioni particolari possono usare percorsi diversi. Threat Shield DNS e FlashStart operano entrambi a livello DNS e la documentazione specifica che non devono essere abilitati insieme. Il risultato utile è quindi una difesa aggiuntiva, monitorata e documentata, inserita in una strategia a più livelli anziché presentata come soluzione assoluta.
Fonti e riferimenti
Fonti consultate il 21/10/2026.