Le DNS : le point de contrôle le plus sous-estimé

Presque tout le trafic sortant est chiffré. Le contenu est donc invisible sans interception, avec les arbitrages que cela suppose.

Une chose reste visible en clair, ou presque : la résolution de noms. C’est le meilleur rapport valeur sur volume de toute la journalisation réseau, et c’est le plus souvent négligé.

Pourquoi c’est si rentable

Presque toute connexion commence par une résolution de nom. Un poste qui contacte un serveur de commande, une charge qui télécharge sa suite, une exfiltration vers un service externe : tous passent par là.

Le volume reste modeste comparé aux journaux de flux, et la donnée est structurée : un nom, une réponse, une source, un horodatage.

Ce qu’on peut détecter

• Les domaines récemment enregistrés. Une requête vers un domaine créé la veille est un signal fort, avec peu de faux positifs.
• Les domaines connus comme malveillants, par recoupement avec des listes de réputation.
• L’exfiltration par DNS : requêtes anormalement longues, volume inhabituel vers un même domaine, sous-domaines aléatoires. Technique ancienne, toujours utilisée parce que le DNS est rarement filtré.
• Les algorithmes de génération de domaines, qui produisent des séries de requêtes échouées vers des noms improbables.
• Les résolutions vers des services de stockage grand public, indice possible d’exfiltration.

Les trois mesures à mettre en place

1. Centraliser la résolution

Interdire aux postes de résoudre ailleurs que par vos résolveurs internes. Cela suppose de bloquer le DNS sortant direct, et de traiter le cas du DNS chiffré, qui contourne le résolveur d’entreprise s’il n’est pas encadré.

Sans cette étape, tout le reste est contournable.

2. Journaliser les requêtes

Source, nom demandé, réponse, horodatage. C’est peu de volume pour une valeur d’enquête élevée — voir ce qu’il faut collecter.

Point de vigilance : les journaux DNS révèlent la navigation des salariés. Ils constituent des données personnelles, avec les obligations d’information, de durée et de restriction d’accès qui en découlent.

3. Filtrer à la résolution

Bloquer la résolution des domaines malveillants connus arrête la connexion avant son établissement. C’est simple, peu coûteux et efficace sur une part significative des tentatives.

Une réponse de blocage explicite, plutôt qu’un échec silencieux, facilite le diagnostic et la détection : un poste qui déclenche vingt blocages par jour mérite un examen.

Protéger vos propres noms

Le DNS est aussi une surface d’attaque côté exposition :

• Le détournement d’enregistrements chez le bureau d’enregistrement. Verrouillage du domaine et authentification renforcée sur le compte de gestion sont le minimum — c’est un compte à privilèges comme un autre, souvent oublié.
• Les enregistrements orphelins pointant vers des ressources désallouées, réappropriables par un tiers. Leur revue périodique fait partie de l’inventaire.
• L’expiration du domaine, incident bête et dévastateur. Renouvellement automatique et alerte à plusieurs mois.

Le lien avec la messagerie

Les mécanismes d’authentification des courriels reposent sur des enregistrements DNS. Une configuration incomplète laisse votre domaine usurpable pour de l’hameçonnage visant vos propres clients — un risque de réputation autant que de sécurité.

Par où commencer

1. Vérifier que les postes ne peuvent pas résoudre ailleurs que par vos résolveurs.
2. Activer la journalisation et la conserver.
3. Ajouter un filtrage par réputation.
4. Verrouiller vos domaines et sécuriser les comptes de gestion.
5. Nettoyer les enregistrements orphelins.

Les deux premiers points se font en quelques jours et changent la capacité d’enquête du tout au tout.

Le contournement, angle mort du filtrage

Un filtrage à la résolution ne vaut que si toutes les requêtes passent par les résolveurs de l’organisation. Cette condition, tenue pour acquise, ne l’est presque jamais.

Quatre mécanismes de contournement coexistent dans un parc courant :

• Les résolveurs publics configurés en dur. Sur un poste, un serveur mis en service rapidement, ou un équipement dont la configuration par défaut n’a pas été revue.
• La résolution chiffrée dans le navigateur. Plusieurs navigateurs savent résoudre les noms via des protocoles chiffrés, indépendamment de la configuration du système. Selon les versions et les réglages par défaut, cela sort silencieusement les requêtes du périmètre de contrôle.
• Les tunnels applicatifs. Un client de réseau privé personnel installé sur un poste emporte la totalité du trafic, résolution comprise.
• Les équipements non maîtrisés. Objets connectés, matériels de prestataires, terminaux personnels sur le réseau invité.

La contre-mesure est simple à énoncer et demande une décision d’architecture : bloquer au pare-feu les requêtes de résolution sortantes vers toute destination autre que les résolveurs internes, et appliquer la politique de gestion aux réglages des navigateurs. Sans ce blocage, le filtrage protège ceux qui n’essaient pas de le contourner — ce qui exclut précisément le poste compromis.

L’exfiltration par la résolution de noms

C’est l’usage offensif le moins surveillé, et il repose sur une propriété structurelle : la résolution de noms est autorisée à peu près partout, y compris depuis des segments réseau où rien d’autre ne sort.

Le principe consiste à encoder des données dans les noms interrogés, vers un domaine contrôlé par l’attaquant qui reçoit ainsi le contenu, requête après requête. Le débit est faible, ce qui suffit largement pour un canal de commande, pour l’extraction de secrets, ou pour maintenir un accès sur la durée.

Les signaux exploitables sont peu nombreux et se détectent sans plateforme spécialisée : un volume anormalement élevé de sous-domaines distincts sous un même domaine parent, des noms interrogés d’une longueur inhabituelle, un poste unique générant un nombre de requêtes sans rapport avec son usage, ou un domaine récemment enregistré interrogé de façon régulière.

Ces règles sont réalisables dès lors que la journalisation des requêtes est en place — ce qui ramène au point précédent : la valeur du DNS comme point de contrôle dépend entièrement de la centralisation.

La disponibilité, risque qu’on oublie de traiter

Le DNS est traité comme un sujet de sécurité et rarement comme un sujet de continuité. Pourtant, une résolution indisponible rend l’ensemble du système d’information inutilisable, y compris les services parfaitement fonctionnels par ailleurs.

Trois points méritent d’être vérifiés une fois, puis inscrits au plan de continuité :

• La redondance réelle des résolveurs internes. Deux instances hébergées sur le même hyperviseur ou dans la même salle ne constituent pas une redondance.
• Les serveurs faisant autorité pour vos domaines publics. S’ils dépendent d’un opérateur unique, une indisponibilité chez lui rend vos services injoignables même s’ils fonctionnent. La répartition entre deux fournisseurs est une mesure peu coûteuse et rarement mise en œuvre.
• Les échéances d’enregistrement. L’expiration d’un nom de domaine par oubli de renouvellement provoque une interruption totale, immédiate, et parfois longue à corriger. Le suivi des échéances relève de l’inventaire, pas de la technique.

Ce que ça coûte

C’est l’argument qui emporte généralement la décision : parmi les mesures de sécurité qui produisent une visibilité réelle, celle-ci est la moins chère.

La centralisation et le blocage des résolutions sortantes relèvent de la configuration d’équipements déjà en place. La journalisation ajoute un volume modéré au regard d’une collecte complète de trafic. Le filtrage par listes de réputation existe sous forme de service à un coût par poste sans commune mesure avec une solution de détection sur les terminaux.

Pour une organisation qui démarre et doit choisir un premier point de visibilité, c’est le meilleur rapport entre l’effort consenti et la couverture obtenue — non parce qu’il remplace le reste, mais parce qu’il fait apparaître des activités qu’aucun autre dispositif de cette gamme de prix ne montre.

Sources

• ISO/IEC 27002:2022, mesures 8.15, 8.16, 8.20 et 8.23
• ANSSI — recommandations sur la sécurité du DNS
• CNIL — journalisation et données personnelles

Aller plus loin

Ces mesures relèvent de nos missions de sécurité réseau, et leur exploitation de notre infogérance SOC.