Een DNS-advertentieblokker, en alles wat Warda verder doet

Blokkeren

• Een ingebouwde lijst, elke nacht opnieuw opgebouwd (je kastje kijkt elk uur of er een nieuwe is), die reclame, trackers, malware en phishing blokkeert vanaf de installatie.
• Beschermingslijsten die sneller groeien: het Warda-team geeft zijn analysedienst veel adressen tegelijk; elk adres wordt bij meerdere bronnen gecontroleerd (VirusTotal, urlscan.io, dreigingsfeeds) en automatisch ingedeeld bij de beschermingslijsten (phishing, malware, oplichting, reclame…) die elke box downloadt. Zeer populaire sites worden nooit automatisch ingedeeld — een mens bekijkt ze — en een site die per vergissing is geblokkeerd, komt snel op een whitelist. Daarvoor gaan alleen de adressen die het team indient naar deze diensten, nooit gegevens van je huishouden.
• Bescherming per categorie: content voor volwassenen, gokken, sociale netwerken, recente domeinen, en meer.
• Genoemde diensten (videoplatforms, games, sociale netwerken) geblokkeerd voor het hele netwerk, een groep, een persoon of één apparaat.
• Veilig zoeken afgedwongen op de belangrijkste zoekmachines en op YouTube.
• Je eigen lijst gaat altijd voor: één klik om een site te deblokkeren.
• Pagina „Geblokkeerd door Warda” (standaard aan en aanbevolen; de beheerder kan een ander antwoord kiezen): in plaats van een pagina die niet laadt, ziet de persoon dat Warda de site heeft geblokkeerd en waarom (de categorie of de lijst), met een link om deblokkering te vragen. Op beveiligde sites (HTTPS) verschijnt de pagina zonder waarschuwing van de browser zodra het eigen Warda-certificaat van het huishouden op het apparaat is geïnstalleerd: een pagina van de box (/certificate) biedt het aan, met stap-voor-stapinstructies voor Windows, Mac, iPhone en iPad, Android, Linux en Firefox. Deze certificaatautoriteit wordt door je box gemaakt en blijft daar: ze verlaat de box nooit en zit nooit in de back-ups. Sommige apps negeren de certificaten die op het apparaat zijn geïnstalleerd en blijven hun eigen foutmelding tonen, en de pagina heeft de webinterface van de box op de poorten 80 en 443 nodig (met Docker mogen die poorten niet verplaatst zijn): anders blijft de box stil blokkeren, zoals vroeger, en zeggen zijn instellingen waarom. Alleen de pagina die je opent, toont ze: de geblokkeerde advertenties en trackers van een pagina blijven onzichtbaar. Met Warda Business kan een beheerder de persoon de site ook 15 minuten op het eigen apparaat laten deblokkeren na een reden te kiezen (standaard uit, een paar keer per dag, nooit voor een bedreiging), en de pagina toont het logo van het bedrijf.
• Regels per persoon of per groep (bèta, gratis): blokkeer of sta een site toe voor één persoon op al haar apparaten, gedeelde inbegrepen, of voor een hele groep apparaten (de camera's, de gasten…), voorgoed of voor een uur, een dag, een week. De regel van een apparaat gaat voor die van zijn persoon, die voor die van zijn groep; op een gedeelde tablet blokkeert de blokkade van één persoon, en een toestemming vraagt die van allemaal. Het opvragingenlogboek en de blokkeerpagina zeggen wiens regel besliste.

Wat de teller van Warda telt, en hoe nieuwe lijsten worden nagekeken

← Vorige: Kleine bedrijven Volgende: Beveiliging →

Beveiliging

• Malware, phishing en oplichting geblokkeerd voor alle apparaten, ook die waarop u niets kunt installeren: tv, console, verbonden apparaten.
• Reputatie van de domeinen (bèta, gratis): een domein dat je huishouden nauwelijks kent, wordt voorgelegd aan de analysedienst van Warda, die zijn oordeel geeft. Een kwaadaardig domein wordt voor iedereen geblokkeerd, een verdacht domein voor de kinderen en tieners, en een verdacht domein van minder dan 14 dagen oud voor iedereen (standaard aan bij nieuwe installaties). Een naam die een bekende naam nabootst, wordt bij zijn eerste verzoek gecontroleerd; de andere op de achtergrond: het allereerste bezoek aan een nooit gezien domein kan dus doorgaan, en als het gevaarlijk wordt bevonden, volgt de blokkering binnen enkele minuten. Alleen het registreerbare domein verlaat de box (voorbeeld.nl), nooit het apparaat, de persoon of het tijdstip.
• Misleidende namen: een naam die een bank of een bekende dienst nabootst met letters van een ander alfabet (аpple.com) opent nooit; een tikfout (paypa1.com), een merk vastgeplakt aan een andere naam (paypal-login.help) of verstopt in een subdomein (paypal.com.check-account.net) wordt gemeld, en geblokkeerd als het domein pas een paar dagen oud is.
• Een rapport van misleidende namen: één regel per naam, met de nagebootste naam, het soort, wat Warda deed (geblokkeerd of gemeld), het aantal verzoeken en apparaten, eerst en laatst gezien.
• Datalekken via DNS gestopt: een programma dat gegevens verstopt in de namen die het opvraagt, wordt opgespoord, zijn domein voor dat apparaat geblokkeerd, en u wordt gewaarschuwd.
• Aanvallen via de browser (DNS-rebinding) gestopt: een internetnaam die antwoordt met een adres van uw huis (de router, een camera, de NAS) wordt geblokkeerd.
• Spionage-apps (stalkerware) herkend: de servers waaraan deze apps rapporteren worden geblokkeerd, en de persoon van wie de telefoon wordt bespied krijgt een melding, niet alleen de beheerders.
• Hulpmiddelen voor overname op afstand (AnyDesk, TeamViewer…), gebruikt bij oplichting met valse helpdesks, en een apparaat dat dezelfde zeldzame server als een klok aanroept, worden gemeld.
• Het beveiligingsrapport legt uit wat normaal is en wat niet, met een knop bij elk punt (de apparaten, de meldingen, de beveiligingen, de quarantaine bekijken); een apparaat dat zich gedraagt als een besmet apparaat wordt erin aangewezen.
• Een apparaat dat besmet lijkt, gaat met één klik in quarantaine: via Warda bereikt het alleen nog zijn updates en zijn antivirus tot u het vrijgeeft (een quarantaine via de namen: om het helemaal af te sluiten, trek de stekker eruit).
• Blootstelling op internet (bèta, gratis): eens per week of op verzoek probeert de online dienst van Warda van buitenaf de riskante poorten van je eigen publieke adres, en alleen dat adres (extern bureaublad, bestandsdeling, camera’s, databases…); Warda leest de poorten die je router zelf heeft geopend (UPnP) en zoekt naar Telnet en FTP op je netwerk. Elke bevinding krijgt een ernst en een eenvoudig advies, en elke nieuwe wordt gemeld. UDP-diensten en de IPv6-openingen van elk apparaat worden niet gecontroleerd. Een bevinding die 7 dagen niet wordt teruggevonden, gaat naar een geschiedenis, zodat u ziet wat nu openstaat, en het dashboard heeft een eigen kaart.
• Bekende datalekken (abonnement, bèta): de e-mailadressen van het huishouden worden elke week met k-anonimiteit vergeleken met bekende datalekken — alleen de eerste 6 tekens van een vingerafdruk van elk adres verlaten de box, nooit het adres — en elk nieuw lek wordt gemeld met wat je moet doen. De controles beginnen zodra de datalekdienst van Warda opengaat; tot dan blijven de adressen bewaard.
• Een wachtwoord testen (bèta, gratis): je browser berekent de vingerafdruk en stuurt alleen de eerste 5 tekens; Warda zegt of het wachtwoord in bekende lekken voorkomt. Het wachtwoord verlaat de browser nooit.
• Verborgen cryptomining voor iedereen geblokkeerd (bèta, gratis): miningpools en miners die in een webpagina draaien, antwoorden niet meer, en een apparaat dat het probeert wordt gemeld, met de quarantaine één klik verder.
• Beperkte modus voor verbonden apparaten (bèta, gratis, thuis en in bedrijven): een paar dagen lang leert Warda de namen die een camera, een tv of een sensor nodig heeft, en staat daarna alleen die toe; elke andere naam wordt geblokkeerd en gemeld, en is met één klik weer toe te staan. Een programma met een eigen resolver gaat eromheen, zoals om elk filter op namen.
• Deze beschermingen ontsleutelen niets: alleen de namen en de geantwoorde adressen worden gelezen, op de box. Slechts drie opties sturen domeinnamen naar buiten, en elk kan uit: de tweede mening (een verdacht domein, alleen, om de leeftijd te kennen), de reputatie van de domeinen (het registreerbare domein van de namen die het huishouden nauwelijks kent) en de collectieve basis (alleen registreerbare domeinnamen, standaard uit).
• Over elke melding beslissen (abonnement, bèta): het risico accepteren (de toelating die erbij past), weigeren (de blokkering, of de quarantaine van het apparaat) of blijven volgen (hoogstens elke 14 dagen opnieuw gemeld zolang het duurt); elke beslissing is gedateerd, gelogd en met één klik ongedaan te maken. Een apparaat waarvan de dag veel drukker of rustiger is dan gewoonlijk, geeft ook een melding.
• Lekken herkend aan de recordtypes (bèta, gratis, vanaf Warda 0.9.10): naast de vorm van de namen kijkt Warda naar het soort record dat een apparaat vraagt; een uitbarsting van zeldzame records (TXT, NULL, MX, ANY…) die gegevens naar één domein dragen, wordt voor dat apparaat gestopt, terwijl mailservers die SPF, DKIM en DMARC controleren met rust gelaten worden.
• Apparaten die misschien een andere DNS gebruiken (bèta, gratis, vanaf Warda 0.9.10): een apparaat in het netwerk dat Warda nooit vraagt, of ermee stopte, wordt opgesomd met wat je controleert (privé-DNS, VPN, iCloud Privédoorgifte, beveiligde DNS van de browser, IPv6-DNS van de router), en geeft één keer per dag een melding. Verzoeken rechtstreeks naar een andere server ziet Warda niet: die stopt het sluiten van poort 53 en 853 in de router.
• Een gelicentieerde lijst van materiaal van seksueel kindermisbruik (bèta, gratis, vanaf Warda 0.9.10): een organisatie met een licentie van een bevoegde instantie, zoals de IWF, kan Warda het adres van haar hashlijst geven; die wordt via HTTPS gedownload, op elk apparaat toegepast en is nooit leesbaar op het kastje. Warda zelf heeft geen zulke lijst.
• Een domein analyseren (bèta, gratis, vanaf Warda 0.9.10): vanaf elke regel van het opvragingenlogboek vraagt Analyseren de analysedienst van Warda naar het domein — alleen het domein verlaat het kastje — en geeft het oordeel (kwaadaardig, verdacht, betrouwbaar of onbekend), een score op 100, de redenen en de leeftijd van het domein. Een schadelijk domein wordt aan het Warda-team voorgesteld voor de gedeelde lijsten, nooit vanzelf toegevoegd: elk kastje blokkeert het zodra het team het heeft gecontroleerd. Op je eigen kastje beslis jij: blokkeren of toestaan. Tot 20 analyses per uur.

DNS-exfiltratie: wat Warda herkent

← Vorige: Blokkeren Volgende: Leren →

Leren

• Warda leert van de verzoeken van je netwerk, op drie niveaus: laag, gemiddeld, sterk.
• Elke suggestie komt met haar context: het apparaat, het tijdstip, het verzoek dat er net aan voorafging.
• Een tabblad ‘Gevolgde namen’ toont elke verdachte naam die Warda in de gaten houdt en waarom die nog niet wordt voorgesteld: eerste observatiedagen, score onder je niveau, alleen gevraagd door nieuwe apparaten of door servers, weeklimiet bereikt. Een analyse start je wanneer je wilt. Een grafiek zet elke naam af tegen de drempels van de drie niveaus (laag 90 %, gemiddeld 70 %, sterk 50 %), met het jouwe uitgelicht, en een detailweergave per reden en per rol.
• Standaard wordt niets geblokkeerd zonder jou: suggesties worden gebundeld in een wekelijks overzicht.
• Zekere nieuwe trackers automatisch geblokkeerd (optie, bèta, gratis; alleen op het niveau sterk): de nieuwe tracking- en telemetrienamen waarvan Warda het zekerst is — tv’s en verbonden apparaten sturen er veel — worden vanzelf geblokkeerd, hoogstens een paar per week, nooit een site die je gebruikt of hebt toegestaan. Elke blokkering staat in een lijst en is met één klik ongedaan te maken; daarna wordt die naam nooit meer automatisch geblokkeerd.
• De collectieve basis (abonnement, bèta), standaard uit: zodra een beheerder haar aanzet, vraagt Warda de analysedienst van Warda om zijn mening over de namen waaraan het twijfelt, zoals een EDR dat zijn cloud om een tweede mening vraagt. De mening (schoon, verdacht of kwaadaardig, met de redenen) verschijnt bij de suggesties, en gevaarlijke namen die op je netwerk zijn gezien komen terug als suggesties met het label 'Collectieve basis'. Niets wordt ooit geblokkeerd zonder jou.
• Alleen registreerbare domeinnamen verlaten de box, nooit een apparaat, een persoon, een tijdstip of een adres, en de analysedienst weet nooit welke box het vraagt. Het dashboard toont de collectieve basis aan het werk: laatste uitwisselingen, meningen ontvangen in 7 dagen, status van de analysedienst.
• Het model van het leren (bèta, gratis, vanaf Warda 0.9.10): het kastje kan een klein model gebruiken dat getraind is op de beslissingen van de beheerders van veel Warda-kastjes. Het maakt Warda meer of minder zeker van een naam en kan een verdachte naam voorstellen die de regels missen — altijd uitgelegd (wat het zwaarst woog), nooit zonder jou toegepast, binnen dezelfde weeklimiet. Het model wordt ondertekend gedownload en draait op het kastje: niets van je netwerk verlaat het daarvoor.

← Vorige: Beveiliging Volgende: Gezin →

Gezin

• Eén kaart per persoon, met hun apparaten, en profielen afgestemd op de leeftijd.
• Kinderen worden automatisch tiener op 15 jaar en volwassene op 18 jaar.
• Een apparaat dat door meerdere personen van het huishouden wordt gedeeld, volgt het meest beschermende profiel van wie het gebruikt; de tijd en de activiteit ervan worden getoond als ‘gedeeld apparaat’ en tellen bij niemand mee in het persoonlijke totaal.
• Een pauze voor één apparaat of voor het hele huis, zonder door te laten wat voor de anderen geblokkeerd blijft.
• Een account voor elke volwassene, met een duidelijk dashboard; een volwassene die geen gedetailleerde rapporten aanvaardde, telt toch mee in de totalen, maar de namen die hij bezoekt blijven privé.
• Het verzoekenlogboek toont de persoon achter elk apparaat, of anders de groep, en filtert op persoon of groep. Elk account kan het openen: een lid ziet alleen zijn eigen apparaten, de beheerders zien alles.
• Voor iedereen makkelijk te lezen: lange lijsten per pagina van 10 tot 100 regels, in de lijst van apparaten één regel op twee licht gearceerd, een zachte kleur voor elke persoon en elke groep.
• Bescherming buitenshuis (abonnement, bèta): een telefoon, tablet of laptop houdt zijn regels op mobiele data en op andere wifinetwerken — de online dienst van Warda geeft zijn verzoeken door aan je box, die antwoordt met de regels van dat apparaat. Een profiel voor iPhone, iPad en Mac, een app zoals RethinkDNS of Intra op Android, een instelling in Windows 11 en in de browsers. Is je box onbereikbaar, dan worden de verzoeken beantwoord zonder je regels (door een resolver die bekende malware blokkeert), en geteld.
• Mobiele data thuis (abonnement, bèta): als de telefoon van een kind die buitenshuis beschermd is overschakelt op mobiele data vlak nadat hij op je netwerk was, krijgen de ouders een melding; Warda kan niet weten of het kind nog thuis is of net vertrokken, en zegt dat ook. Stopt op dat moment een ander apparaat van het kind met vragen aan Warda, dan meldt Warda dat het waarschijnlijk de gedeelde verbinding gebruikt: een waarschijnlijkheid, geen bewijs.
• De samenvatting van de week (abonnement, bèta), voor de kinderen, de tieners en de volwassenen die met gedetailleerde rapporten instemden, 52 weken bewaard en elke maandag per e-mail verstuurd via uw eigen mailserver, nooit via de onlinedienst van Warda; de schoolvakanties gekozen per zone waar het land die heeft (Frankrijk A, B, C).

Ouderlijk toezicht op DNS-niveau: zo werkt het

← Vorige: Leren Volgende: Versleutelde DNS →

Versleutelde DNS

• Verzoeken naar internet standaard versleuteld (DNS over HTTPS of TLS), gevalideerd met DNSSEC.
• Je apparaten kunnen met Warda praten via DNS over HTTPS, TLS of QUIC, met een naam en een certificaat die Warda gratis levert.
• Als een van onze domeinen ooit onbereikbaar zou worden, zou Warda vanzelf overstappen naar een ander domein van ons, op een door ons ondertekende opdracht, en je laten weten of je apparaten de nieuwe naam nodig hebben.
• Zodra de box zijn naam en een geldig certificaat heeft, schakelt de interface van Warda vanzelf over op HTTPS op de naam van de box, zonder waarschuwing van de browser; is het certificaat niet meer geldig, dan keert ze vanzelf terug naar haar vorige gedrag.
• Als Warda stopt, blijft internet werken zonder filtering, en word je daarvan op de hoogte gebracht.
• Een stapsgewijze handleiding voor elke soort apparaat (Android, iPhone, Mac, Windows, Linux, browsers), één klik verderop in de interface; elke 15 minuten controleert een sonde elk protocol echt.

← Vorige: Gezin Volgende: Netwerk →

Netwerk

• Een optionele DHCP-server, IPv4 en IPv6, met gereserveerde adressen en lokale namen.
• Lokale DNS-records voor je eigen diensten.
• Lokale namen die niemand in het netwerk kent (nas, .lan, .home…) beantwoordt Warda zelf, zonder ze ooit naar internet te sturen: de namen van het huis lekken niet uit. Buitenshuis krijgt een apparaat dat via de onlinedienst beschermd is geen antwoord op deze namen, noch op de lokale records en de namen van de apparaten: ze werken alleen thuis.
• Het lokale domein kies je vrij: .lan, .home.arpa, .internal, .local of een domein dat van jou is. Warda waarschuwt zonder te weigeren: .local is ook het domein van Bonjour (mDNS), waardoor sommige apparaten traag op die namen kunnen antwoorden, en een domein dat op internet bestaat, beantwoordt Warda zelf voor de apparaten van het netwerk.
• Elke 5 minuten een netwerkcontrole: de box die zijn eigen IPv6-DNS-server aankondigt en de apparaten die het filter nooit iets vragen worden gevonden, met een gids per box (Freebox, Livebox, Bbox, SFR Box, Synology…) en in de assistent; een apparaat met bewust een eigen DNS (printer, camera) kun je negeren.
• Een kleurenplan van het netwerk dat op het scherm past, op een telefoon als op een computer: de router, de switches, de wifi-accesspoints en de apparaten op elk ervan, een pictogram per soort machine, de internetrouter en Warda uitgelicht, de verbindingen gekleurd naar type en toestand, en een legenda; met een beheerde switch (SNMP, alleen lezen) staat elk apparaat op zijn poort en onder zijn accesspoint.
• De fabrikant van elk apparaat volgens de drie registers van de IEEE, en namen voor telefoons met een privéadres: de naam die ze de box geven bij het verbinden met de wifi, anders hun systeem (Apple-apparaat, Android-telefoon met merk, Windows-computer). De fabrikanten worden elke dag opnieuw met de lijsten gedownload, en virtuele machines en containers worden als zodanig benoemd.
• Een soort voor elk apparaat, met een eigen pictogram: telefoon, tablet, computer, server, firewall of router, toegangspunt of switch, printer, televisie, spelconsole, slimme speaker, camera, verbonden apparaat, opslag (NAS), horloge. Warda stelt de soort voor op basis van wat hij herkent (fabrikant, systeem, naam) en overschrijft jouw keuze nooit; de lijst filtert per soort. Het systeem van een telefoon met een privéadres wordt herkend aan de namen die alleen dat systeem opvraagt, nooit geraden uit het adres.
• Eén apparaat per machine: een machine die twee keer gezien wordt (een nieuw IPv6-adres, een andere naam van de router) wordt vanzelf samengevoegd, en de namen verliezen het lokale domein (nas.thuis.lan wordt nas); samenvoegen kan ook met de hand.
• Het dashboard vertelt wat er gebeurde: de gezondheid van de box live, met balken die oranje en daarna rood worden als de processor, het geheugen, de opslag of de temperatuur oplopen, de belasting en het netwerkverkeer van het laatste uur in grafieken; en op de activiteitengrafiek een markering voor elke melding, update en herstart, op het tijdstip ervan; elk cijfer van de bescherming heeft zijn pictogram, en in de rapporten kleuren de uren van activiteit van groen naar rood: de drukste zie je in één oogopslag. De activiteitsgrafiek markeert ook het bijwerken van de lijsten en de sites van de bewaakte categorieën; in de rapporten halve ringen bij de cijfers, de soorten verzoeken van elk apparaat en een wereldkaart die op het kastje wordt getekend.
• De internetboxen van 45 providers in Europa (EU, Verenigd Koninkrijk, Zwitserland, Noorwegen) en 21 families van thuisrouters, meshsystemen inbegrepen (Deco, Orbi, Velop, Nest Wifi, eero, UniFi…), herkend door de assistent: hij zegt waar je Warda als DNS-server invult, toont de box achter je eigen router (dubbele NAT) en zegt wanneer je Warda beter de adressen laat uitdelen.
• Andere netwerken van de locatie (bèta, gratis): de VLAN's van gasten, camera's of slimme apparaten geef je op in twee velden (een naam, een bereik); Warda beantwoordt ze, scant hun machines met het netwerk van het kastje, benoemt hun apparaten ernaar en stelt netwerken voor die het ziet vragen zonder opgegeven te zijn.
• Een apparatenlijst die overzichtelijk blijft (bèta, gratis): verwijder één apparaat, meerdere tegelijk, of in één keer die alleen via IPv6 bekend zijn of al een aantal dagen niet gezien; Warda telt ze eerst. Het logboek van een verwijderd apparaat verdwijnt, zijn tellingen blijven in de statistieken; het kastje zelf wordt nooit verwijderd.
• Een opvragingenlogboek dat een druk netwerk bijhoudt (vanaf Warda 0.9.10): met miljoenen verzoeken staan de regels er meteen, het totaal komt even later, en de pagina's lezen nooit het hele logboek.

Uitgaande DNS blokkeren op de router

← Vorige: Versleutelde DNS Volgende: Kleine bedrijven →

Kleine bedrijven

• Groepen van medewerkers en servers, met regels voor iedereen.
• Globaal activiteitenlogboek en meldingen bij gevoelige categorieën.
• Beheerder of Lid in elk abonnement. Met Warda Business groepen van accounts, elk met rollen uit een catalogus (accounts en groepen, back-ups en herstel, netwerk, dagelijks beheer, rapporten en logboeken, alleen lezen…); niemand geeft een recht dat hij zelf niet heeft, en elke wijziging komt in het activiteitenlogboek. Het noodaccount kan nooit worden verwijderd of lager gezet: alleen beheerders kunnen het resetten.
• Deblokkeringsverzoeken (bèta): een medewerker kiest een naam die op zijn apparaat geblokkeerd is, vraagt 15, 30, 45 of 60 minuten of een blijvende deblokkering, en zegt waarom; een beheerder keurt goed of weigert vanaf het dashboard, met een opmerking, en de geschiedenis bewaart elk verzoek. Bedreigingen worden zo nooit gedeblokkeerd. Als de beheerder het toestaat (standaard uit), kan de persoon voor de blokkeerpagina een site ook 15 minuten op het eigen apparaat deblokkeren na een reden te kiezen, een paar keer per dag; elke deblokkering komt in het logboek en geeft een melding.
• Export naar uw SIEM (Wazuh, Graylog, Elastic, Splunk, Sentinel): waarschuwingen, beheerlogboek en geblokkeerde namen, via syslog in JSON of CEF.
• Preventie van datalekken (DLP, bèta), op DNS-niveau: bestandsoverdracht, persoonlijke opslag, plaksites, anonieme bestandshosts, persoonlijke webmail en AI-assistenten, elk op Toestaan, Melden of Blokkeren voor het netwerk, een groep, een persoon of een apparaat. Een rapport per kanaal, apparaat en persoon, de gebeurtenissen naar je SIEM, en een kant-en-klare tekst om de medewerkers te informeren, zoals de wet vereist.
• Beveiligingscentrum (bèta): een score op 100 met het verloop over 7 of 30 dagen, en de acties in volgorde van prioriteit, elk met een knop om het op te lossen: besmette apparaten of in quarantaine, misleidende namen, ontbrekende back-ups, beheerders zonder tweede factor, wachtende updates…
• AI-diensten (bèta): welke assistenten gebruikt worden, door welk apparaat en welke persoon, en sinds wanneer; toegestaan, gemeld of geblokkeerd voor het netwerk, een groep, een persoon of een apparaat, allemaal samen of één voor één (ChatGPT toestaan, DeepSeek blokkeren).
• Apparaatbeleid (bèta): de regels van elke apparaatgroep in één tabel (beveiligingen, SafeSearch, diensten, DLP, basisregels), en een nalevingslijst: apparaten van niemand, stille apparaten, apparaten die het filter proberen te omzeilen, in quarantaine.
• Directory (bèta): de personen uit Active Directory of OpenLDAP (LDAPS of StartTLS), uit Microsoft Entra ID of uit Google Workspace elk uur geïmporteerd, de groepen van de directory gekoppeld aan apparaatgroepen. Ze melden zich bij Warda aan met het wachtwoord van de directory, of met „Aanmelden met Microsoft” of „Aanmelden met Google”, en de groepen van de directory geven hun rechten; een persoon die in de directory is uitgeschakeld, wordt bij de volgende import afgemeld. De accounts van Warda houden hun eigen wachtwoord, voor het geval de directory niet antwoordt.
• Bedrijfsrapporten (bèta): een overzicht van de week of de maand, klaar om te printen: verzoeken, blokkeringen, beveiligingsscore, meldingen, DLP en AI, per persoon en per soort apparaat; ze openen meteen, elk uur of op verzoek berekend. Met het logo van het bedrijf, dat ook op de blokkeerpagina en de deblokkeringspagina verschijnt.
• Hoge beschikbaarheid (bèta): twee gekoppelde kastjes en één gedeeld adres, IPv4 en IPv6 (VRRP, keepalived): valt het eerste uit, dan antwoordt het tweede in zijn plaats, met de instellingen elke minuut gekopieerd, en de beheerders krijgen een melding. Het secundaire kastje is alleen-lezen, dus er wordt niets per ongeluk aan veranderd; de rapporten van het primaire tellen beide kastjes; is het primaire voorgoed verloren, dan vervangt het secundaire het met één klik. Het tweede kastje neemt ook de bescherming buitenshuis over.
• Vestigingen (bèta): de kastjes van verre vestigingen sluiten aan met een code en worden gevolgd vanaf één beheerkastje. Vanaf het hoofdkantoor: één beleid voor alle vestigingen (bedrijfsregels, preventie van datalekken, AI-diensten, apparaatbeleid), ondertekend door het beheerkastje en gecontroleerd door elk kastje, met of zonder lokale uitzonderingen; alle vestigingen of enkele in één keer bijgewerkt naar de nieuwste ondertekende versie; één bedrijfsrapport dat de tellingen van elke vestiging optelt, nooit een naam; en een melding als een vestiging een dag stil blijft.
• Webproxy (bèta, standaard uit): een expliciete proxy in het kastje, aan de computers aangekondigd door het netwerk (WPAD) of ingesteld via een bedrijfsbeleid. Elke site die ze openen wordt beslist met dezelfde regels als de DNS, ook in een browser met zijn eigen versleutelde DNS; met één firewallregel (poort 80 en 443 naar buiten alleen voor het kastje, QUIC geweigerd) wordt hij de enige weg naar buiten. Elke verbinding wordt gelogd met site, apparaat en volume, en de gebruikte AI-diensten, bestandsdeling en webmail worden per apparaat getoond — gelezen uit de naam in de TLS-handshake: niets wordt ontsleuteld, alles blijft op het kastje. Apps van telefoons en apparaten negeren proxy's vaak: het DNS-filter blijft ze beschermen.
• De meldingen van het paar en van de vestigingen op de telefoon (bèta, vanaf Warda 0.9.10): de beheerders krijgen een pushmelding als een kastje van het paar overneemt, als het andere kastje verloren is, als het hoofdkastje is vervangen, of als een vestiging stil blijft — ook als het uitgevallen kastje het hoofdkastje is.

DNS-filtering voor een klein bedrijf: zo werkt het

← Vorige: Netwerk Volgende: Blokkeren →