Sicurezza a livello DNS: bloccare la minaccia prima della connessione
Ogni connessione Internet inizia quasi sempre con una risoluzione DNS: prima di aprire una sessione TCP verso un IP, il client chiede al resolver “qual è l’indirizzo di questo dominio?”. Cisco Umbrella si posiziona esattamente in quel punto, agendo come resolver DNS ricorsivo cloud-delivered. Puntando i DNS interni (o i client) verso gli indirizzi anycast di Umbrella (i noti 208.67.222.222 e 208.67.220.220, eredità di OpenDNS), ogni query viene valutata contro l’intelligence di Cisco Talos prima che la connessione IP venga stabilita.
Il vantaggio architetturale è profondo: se il dominio è associato a malware, phishing, C2 (command-and-control) o botnet, Umbrella non restituisce l’IP reale ma reindirizza a un block page. La minaccia viene neutralizzata a monte, senza mai instradare un pacchetto verso l’infrastruttura malevola. Questo riduce drasticamente il carico su firewall e IPS a valle e protegge anche host off-network tramite il modulo roaming di Cisco Secure Client (l’agent AnyConnect).
Identità, policy e destination list
In Umbrella tutto ruota attorno al concetto di identità: l’entità a cui si applica una policy. Un’identità può essere una network (IP pubblico registrato di una sede), un network device (router IOS-XE o WLC che inoltra le query), un roaming computer (con Secure Client), un Virtual Appliance (VA) o un AD user/group grazie all’integrazione con i connettori Active Directory. L’ordine delle identità nella policy conta: Umbrella applica la prima identità che corrisponde.
I content settings consentono il filtraggio per categorie (gambling, adult, social media…) e per livello di security (malware, phishing, DNS tunneling, newly seen domains). Le destination list sono liste esplicite di allow o block che sovrascrivono le categorie: utili per whitelisting di SaaS aziendali o blocco puntuale di domini. Il reporting cloud offre visibilità su Activity Search, Security Overview e Top Destinations, con log opzionalmente esportati su bucket S3.
Da Umbrella a Secure Internet Gateway (SIG)
La sola sicurezza DNS ha un limite intrinseco: classifica per dominio, non ispeziona il contenuto. Per questo Umbrella si estende in una piattaforma SIG (Secure Internet Gateway), elemento centrale dell’architettura SASE di Cisco. I componenti aggiuntivi:
| Componente | Funzione |
|---|---|
| Secure Web Gateway (SWG) | Proxy full HTTP/HTTPS con SSL decryption, ispezione URL, AV e sandboxing (Secure Malware Analytics) |
| Cloud-Delivered Firewall (CDFW) | Controllo Layer 3-4 e applicativo (Layer 7) per traffico non-web, con IPS Snort |
| CASB | Discovery dello Shadow IT, rischio delle app cloud, tenant control |
| DLP | Ispezione dei contenuti per prevenire l’esfiltrazione di dati sensibili |
Il traffico raggiunge il SIG tramite tunnel IPsec da router/firewall, PAC file, proxy chaining o Secure Client. Il DNS-layer resta il primo filtro veloce; ciò che passa e richiede analisi profonda viene poi proxato dal SWG. La combinazione DNS + proxy selettivo ottimizza performance: solo i domini “grey” o rischiosi vengono forzati verso il proxy tramite Intelligent Proxy, evitando di far transitare tutto il traffico attraverso l’ispezione completa.
Perché il livello scelto cambia la protezione
Un concetto chiave d’esame è capire cosa può e cosa non può fare il DNS-layer. Umbrella a livello DNS vede il dominio, non l’URL completo né il payload. Non può bloccare una singola pagina malevola su un dominio legittimo (es. un file infetto su un CDN condiviso), né ispezionare il contenuto cifrato. Per quel livello di granularità serve necessariamente il proxy SWG con decryption.
Trappole tipiche d’esame
- Scenario: occorre bloccare l’accesso a specifici URL o ispezionare il contenuto di file scaricati da domini legittimi → Risposta giusta: il Secure Web Gateway (proxy) con SSL decryption, NON la sola sicurezza DNS. Umbrella DNS classifica solo il dominio.
- Scenario: proteggere laptop degli utenti anche quando sono fuori dalla rete aziendale (off-VPN) → Risposta giusta: modulo Umbrella Roaming Security in Cisco Secure Client, che intercetta le query DNS localmente sull’endpoint.
- Scenario: una policy non si applica come atteso a un gruppo AD → Risposta giusta: verificare l’ordine delle identità: Umbrella applica la prima identità corrispondente, e serve il Virtual Appliance + AD connector per la visibilità utente.
- Scenario: consentire un SaaS aziendale erroneamente classificato in una categoria bloccata → Risposta giusta: una destination list di allow, che ha precedenza sulle content category.
- Scenario: rilevare e controllare Shadow IT e app cloud non autorizzate → Risposta giusta: funzionalità CASB dentro SIG, non il DNS-layer security da solo.