Firewall UTM potrafi kosztować 20 tysięcy złotych plus abonament. EDR sensowny dla 30 osób to kilkaset złotych miesięcznie i miesiąc wdrożenia. Backup ratuje tyłek, ale dopiero po tym, jak już się coś stało. A jest jedna warstwa ochrony, która kosztuje kilka złotych na pracownika miesięcznie, wdraża się w dwa dni i blokuje większość typowego malware, zanim w ogóle uruchomi się na komputerze użytkownika. Nazywa się filtrowanie DNS i w większości polskich MŚP po prostu jej nie ma.
Nie ma jej nie dlatego, że jest droga albo trudna. Nie ma jej dlatego, że nikt jej nie oferuje jako „produktu-wow". Nie zrobisz z niej prezentacji na targach. A działa lepiej niż wiele rzeczy, które w prezentacjach na targach są.
Co to naprawdę jest
Kiedy pracownik klika w link „faktura_PocztaPolska_2026.pdf.exe" albo w reklamę „darmowy Photoshop", jego komputer robi najpierw jedną, niepozorną rzecz: pyta DNS-a, jaki adres IP ma domena, do której się łączy. To jest ta pierwsza sekunda każdego połączenia w internecie — zamiana nazwy zaplac-teraz.example.com na 185.243.115.42.
Filtrowanie DNS to po prostu ustawienie w firmie takiego serwera DNS, który zna listę złych domen i po prostu odmawia ich rozwiązywania. Zamiast IP-a zwraca „nie ma takiej domeny". Komputer użytkownika nie łączy się nigdzie — więc malware nie ma jak zassać właściwego ładunku ani zadzwonić do swojego serwera zarządzającego. Kliknięcie kończy się na białym ekranie „strona nieznana", a nie na tygodniu odbudowy z backupów.
To nie jest antywirus. Antywirus reaguje, gdy plik już jest na dysku. Filtrowanie DNS reaguje wcześniej — na etapie, gdy komputer dopiero pyta, gdzie ten plik pobrać.
Dlaczego to działa lepiej, niż się spodziewasz
Nowoczesny malware jest prawie w 100% zależny od internetu. Rzadko przychodzi „w komplecie" w jednym pliku. Zwykle pierwsza faza to malutki dropper, który po uruchomieniu łączy się z serwerem atakującego po drugi etap — właściwy ładunek. Bez tego połączenia dropper jest ślepy i głuchy.
Ransomware działa tak samo. Zanim zaszyfruje dane, prawie zawsze łączy się z serwerem C2 (command and control), żeby pobrać klucz i zameldować, że wszedł. Zablokujesz DNS — zablokujesz połączenie — nie ma szyfrowania.
Phishing też. 90% linków w podejrzanych mailach prowadzi do domen, które istnieją od tygodnia i już figurują na kilku listach. Reputacyjne bazy DNS aktualizują się szybciej niż użytkownicy nauczą się nie klikać.
Przykład z życia
U jednego z naszych klientów — 35-osobowej firmy logistycznej z Wielkopolski, dwie lokalizacje, ERP Comarch Optima, standardowy Microsoft 365 — wdrożyliśmy filtrowanie DNS w usłudze chmurowej. Koszt: około 4 zł na użytkownika miesięcznie. Wdrożenie: dwa dni robocze, głównie konfiguracja polityk i routera w oddziale.
Po sześciu tygodniach zajrzeliśmy do logów. Zablokowanych zapytań DNS: około 2100. Większość to była szara strefa — reklamy trackujące, telemetria, jakieś strony z zajawkami filmów, które ktoś odpalił w przerwie. Ale wśród nich znaleźliśmy trzy „prawdziwe" incydenty.
Najpoważniejszy: pracownik księgowości kliknął w mailu podrobiony link „Poczta Polska — nieodebrana przesyłka". Domena była założona sześć dni wcześniej, na liście reputacyjnej figurowała od 20 godzin. Filtr DNS odmówił połączenia. Bez tego filtra księgowa najprawdopodobniej pobrałaby archiwum, otworzyła plik, uruchomiła dropper i firma stanęłaby na 2–5 dni. Koszt zablokowania: 4 zł. Koszt gdyby nie zablokowała: setki tysięcy.
To nie jest historia z prezentacji „potencjalnie mogłoby się zdarzyć". To trzy zapisy w logu, z konkretną datą i konkretnym pracownikiem, który do dziś nie wie, że coś takiego w ogóle się stało. Tak właśnie powinno wyglądać dobre zabezpieczenie: niewidzialne, tanie i skuteczne.
Trzy sposoby wdrożenia
Usługa chmurowa (najprostsza). Cloudflare Gateway, NextDNS, DNSFilter, Cisco Umbrella. Rejestrujesz konto, dostajesz swój adres serwera DNS, wpisujesz go w router firmy albo w konfigurację DHCP. Gotowe. Panel webowy pokazuje logi, blokady, pozwala robić polityki (dział księgowości może wchodzić na banki, produkcja tylko na dostawców). Cena: od darmowej (Cloudflare Gateway do 50 użytkowników) do około 15 zł/użytkownika/miesiąc w rozwiązaniach enterprise.
Lokalny serwer (dla firm, które lubią mieć swoje). Pi-hole albo AdGuard Home postawione na małym serwerze albo na Raspberry Pi. Darmowe, kontrola nad listami blokującymi, wszystko zostaje w firmie. Wymaga administratora, który się tym zajmie — jedna osoba, godzina tygodniowo. Nie ma reputacyjnej bazy klasy komercyjnej, więc łapie mniej.
Filtrowanie w firewallu (jeśli już masz UTM). Fortinet, Sophos, WatchGuard — wszystkie mają moduł filtrowania kategorii i domen. Jeśli już płacisz za taki firewall, po prostu włącz. Jeśli nie masz — nie kupuj go tylko dla tego, bo usługa chmurowa robi to samo za ułamek ceny.
Dla większości MŚP do 100 osób praktyczna rekomendacja to usługa chmurowa. Prostota wdrożenia i utrzymania wygrywa z każdym innym argumentem.
Czego filtrowanie DNS nie robi
Nie jest srebrną kulą. Nie zastąpi Ci EDR-a, backupów ani szkolenia z phishingu. Zablokuje domeny, które są już na listach — ale świeżutki, dedykowany atak wymierzony w Twoją firmę (kilkanaście godzin po zarejestrowaniu domeny) może się prześliznąć. Nie widzi zawartości ruchu — jeśli malware łączy się z bezpośrednim IP zamiast domeny, DNS w ogóle się nie odbywa. Nie chroni pracownika, który akurat pracuje z domu na własnym łączu i wyłączył firmowy VPN.
Dlatego traktuj to jak jedną z warstw. Zewnętrzna, tania, blokuje 90% masówki. Kolejne warstwy — EDR na endpointach, MFA na kontach, backup 3-2-1, edukacja zespołu — dokładają się do reszty. Żadne pojedyncze zabezpieczenie nie wystarczy. Ale bez tego jednego, konkretnego, tania jest o wiele mniej stabilna.
Ile to naprawdę kosztuje
Rachunek dla firmy 30-osobowej wygląda mniej więcej tak. Cloudflare Gateway albo NextDNS w wersji biznesowej: około 3 USD za użytkownika miesięcznie, czyli w skali roku około 4 500 zł. Wdrożenie u konsultanta: 1–2 dni robocze, czyli 3–6 tysięcy jednorazowo. Utrzymanie: kilkanaście minut tygodniowo na przegląd logów i ewentualne odblokowania fałszywych trafień.
Sumarycznie: pierwszy rok mniej więcej 10 tysięcy złotych. Każdy kolejny 4 500 zł.
Dla porównania: jeden dzień przestoju 30-osobowej firmy to zwykle powyżej 30 tysięcy złotych utraconych marż i produkcji. Nie liczymy nawet kosztu odbudowy i utraconej reputacji. Filtrowanie DNS zwraca się, jeśli zapobiegnie jednemu incydentowi w ciągu 10 lat. W praktyce zapobiega paru rocznie — a Ty w większości przypadków nawet o tym nie wiesz.
Od czego zacząć w Twojej firmie
Zacznij od małego pilota. Wybierz jedną usługę (Cloudflare Gateway ma darmowy tier do 50 użytkowników — na start w zupełności wystarczy). Skonfiguruj ją na jednym dziale albo jednej lokalizacji. Zbierz przez tydzień logi. Zobacz, ile zablokowanych zapytań, jakie kategorie, czy są fałszywe trafienia dla legalnego biznesu. Potem rozwałkuj to na całą firmę.
Cała operacja nie powinna zająć więcej niż dwa tygodnie kalendarzowe od podjęcia decyzji do pełnego pokrycia. Jeśli Twój obecny dostawca IT mówi, że to skomplikowany projekt na miesiące — to znaczy, że najprawdopodobniej po prostu nie ma tego w swoim cenniku.
Najlepsze zabezpieczenie to takie, którego użytkownik nigdy nie zauważa. Filtrowanie DNS działa dokładnie tak — cicho, tanio i zanim cokolwiek się zdąży wydarzyć.