DNS malware blocking e blocco del phishing: ferma le minacce prima che vengano caricate

Il DNS malware blocking può impedire a un dispositivo di connettersi a un domain pericoloso noto prima che il sito web, il file o il server remoto abbiano la possibilità di caricarsi. Agisce nella fase del Domain Name System (DNS), il lookup che trasforma un domain leggibile dalle persone nella destinazione che un dispositivo deve contattare. Poiché questo lookup avviene all’inizio di una connessione, offre la possibilità di rifiutare tempestivamente una destinazione pericolosa.

Il sistema che fornisce questa protezione è un filtering forwarder. Esamina una DNS query, ossia la richiesta di un dispositivo di effettuare il lookup di un domain, e verifica se tale domain è stato classificato come pericoloso. Se il domain è associato alla distribuzione di malware, a una pagina di phishing, a ransomware o a un command-and-control server, il forwarder si rifiuta di risolverlo. Un command-and-control server è un sistema online che i dispositivi infetti contattano per ricevere istruzioni. Senza una risposta DNS utilizzabile, il browser o un’altra applicazione non si connette alla destinazione elencata, quindi la minaccia ospitata su di essa non viene caricata.

La distinzione tra un filtering forwarder e un resolver è importante. Un resolver è il servizio che svolge il lavoro necessario per ottenere la risposta DNS. Un filtering forwarder non è di per sé un resolver. Filtra le query in arrivo e invia quelle consentite a un upstream resolver, che si occupa quindi della risoluzione. Le query relative a domain classificati come pericolosi vengono rifiutate anziché essere inoltrate come normali lookup.

Questo intervento tempestivo è particolarmente utile contro il phishing. Una pagina di phishing è un sito web fraudolento progettato per convincere i visitatori a divulgare informazioni o a compiere un’azione non sicura. Se il relativo domain è già noto e classificato come dannoso, il DNS filtering può impedire al browser di raggiungerlo. Lo stesso principio si applica ai domain utilizzati per distribuire malware, ossia software dannoso, e alle infrastrutture online associate a ransomware, una forma di malware che può rendere indisponibili file o sistemi e richiedere un pagamento.

Il DNS filtering svolge un ruolo anche dopo che il malware ha raggiunto un dispositivo. Alcuni software dannosi tentano di contattare command-and-control server per ricevere ulteriori istruzioni. Se il domain del server è stato classificato come pericoloso, il filtering forwarder può rifiutare quel lookup. Il limite fondamentale è la classificazione del domain: la protezione blocca il tentativo di connessione a un domain noto come dannoso, anziché esaminare o rimuovere un file già memorizzato sul dispositivo.

Per questo motivo, il DNS malware blocking affianca l’antivirus anziché sostituirlo. Il DNS filtering agisce nella fase di lookup e cerca di impedire che la connessione venga stabilita. L’antivirus opera sul dispositivo e può rilevare o intercettare un file dannoso qualora riesca a passare. Questi controlli agiscono in momenti diversi, quindi utilizzarli entrambi offre una copertura maggiore rispetto all’affidarsi a uno solo dei due livelli.

Un ulteriore vantaggio è la copertura dell’intera rete. Quando una rete utilizza un servizio di DNS filtering, i telefoni, i computer e le smart TV connessi possono ricevere la protezione senza che sia necessario installare software di filtering separato su ogni dispositivo. Ciò è utile perché non tutti i dispositivi connessi a Internet supportano un antivirus convenzionale, ma utilizzano comunque il DNS quando si collegano a destinazioni online identificate da un nome. La protezione si applica ai dispositivi che utilizzano quella rete e le relative impostazioni DNS.

Esistono limiti importanti. Il DNS filtering blocca i domain già noti e classificati come dannosi. Non può fermare ogni minaccia nuova, sconosciuta o non ancora classificata. Inoltre, non deve essere considerato un sostituto dell’installazione degli aggiornamenti, del mantenimento dell’antivirus attivo o della prudenza nei confronti di link e richieste inattesi. Se un file dannoso riesce a passare o una destinazione pericolosa non è ancora stata identificata, gli altri livelli di sicurezza rimangono importanti.

Per chi sta valutando questo livello di protezione, AEU DNS offre un DNS privato e sicuro per tutti. Qualunque sia il servizio DNS scelto, l’approccio corretto è una difesa a più livelli: filtrare le destinazioni note come pericolose prima della connessione, mantenere aggiornati i dispositivi e il software di sicurezza e restare prudenti quando un messaggio o un sito web richiede informazioni sensibili o un’azione insolita.