Sécurité DNS pour les défenseurs : DNSSEC, DoH et durcissement du registrar

Le DNS est le carnet d'adresses auquel tout l'internet se fie, et cette confiance en fait une cible de choix. Si un attaquant peut changer où pointe votre domaine, rediriger votre courrier ou falsifier les réponses aux requêtes de vos utilisateurs, il contourne la plupart de vos autres défenses avant qu'un seul paquet n'atteigne votre application. Ce guide orienté défenseur explique trois couches distinctes de protection DNS — DNSSEC pour l'authenticité des données, le DNS chiffré (DoH et DoT) pour la confidentialité des requêtes et le durcissement du registrar et des comptes pour la sécurité du plan de contrôle — et montre comment détecter les altérations et durcir chaque couche sans casser la résolution.

Pourquoi le DNS est une cible de si grande valeur#

Le DNS se trouve au début de presque chaque connexion et il a été conçu sans authentification ni confidentialité. Trois propriétés le rendent attrayant pour les attaquants. Premièrement, une redirection réussie est invisible : les victimes tapent le bon nom et atterrissent tout de même sur une infrastructure hostile. Deuxièmement, le DNS contrôle plus que le trafic web — il oriente la livraison du courrier (MX), la validation d'émission des certificats et la découverte de services, si bien que le contrôle du DNS peut permettre l'interception d'e-mails et même des certificats TLS frauduleux. Troisièmement, le plan de contrôle (vos comptes de registrar et d'hébergement DNS) est souvent faiblement protégé par rapport aux systèmes de production, faisant de la prise de compte une voie efficace vers le détournement de domaine.

DNSSEC : authentifier les données, pas le canal#

Les extensions de sécurité DNS (DNSSEC) ajoutent des signatures cryptographiques aux enregistrements DNS pour qu'un résolveur validant puisse prouver qu'une réponse provient réellement du propriétaire de la zone et n'a pas été modifiée en transit. Chaque zone signe ses enregistrements (RRSIG), publie des clés de signature (DNSKEY), et une chaîne de confiance est établie depuis la racine vers le bas via des enregistrements DS chez chaque parent. Ce que DNSSEC vous donne, c'est l'authentification d'origine et l'intégrité : il déjoue l'empoisonnement de cache et les réponses falsifiées. Ce qu'il ne donne pas, c'est la confidentialité — requêtes et réponses restent lisibles sur le fil — et il ne protège pas contre le détournement du compte qui permet à un attaquant de resigner légitimement la zone. Déployez-le, mais comprenez sa portée.

DNS chiffré : DoH et DoT pour la confidentialité des requêtes#

DNS over HTTPS (DoH) et DNS over TLS (DoT) chiffrent la requête entre le client et le résolveur, empêchant les observateurs sur le chemin de lire ou d'altérer les résolutions. Cela comble une réelle lacune de confidentialité et d'intégrité sur les réseaux non fiables. Pour les défenseurs, le DNS chiffré est à double tranchant : il protège vos utilisateurs, mais il peut aussi cacher des résolutions malveillantes et du command-and-control si les postes contournent votre résolveur. La posture défensive consiste à fournir un résolveur chiffré que vous contrôlez et à orienter ou bloquer le DoH public non sanctionné pour que la télémétrie DNS reste visible pour votre pile de sécurité. Le DNS chiffré et DNSSEC sont complémentaires : l'un protège le canal, l'autre authentifie les données.

Le plan de contrôle : sécurité du registrar et du compte DNS#

Les incidents DNS les plus dommageables ne sont généralement pas des attaques de protocole ingénieuses mais une simple prise de compte. Si un attaquant hameçonne ou bourre les identifiants de votre connexion au registrar, il peut repointer les serveurs de noms, changer les enregistrements MX pour intercepter les réinitialisations de mot de passe et demander des certificats pour votre domaine. Durcir le plan de contrôle signifie imposer une MFA résistante au hameçonnage sur les comptes de registrar et d'hébergement DNS, activer le verrou registrar (et le verrou registre pour les domaines critiques, qui exige une vérification manuelle hors bande pour tout changement), restreindre qui détient ces identifiants et surveiller les changements inattendus. Traitez ces comptes avec la même rigueur que l'admin de domaine dans votre annuaire.

Surface d'attaque et techniques à comprendre#

Les défenseurs doivent reconnaître les modes de défaillance au niveau conceptuel. L'empoisonnement de cache injecte des réponses falsifiées dans le cache d'un résolveur ; la validation DNSSEC et l'aléatoire du port source sont les contre-mesures. Le détournement de domaine modifie les données d'enregistrement ou de serveurs de noms via une compromission de compte ; le verrou registrar/registre et la MFA sont les contre-mesures. La prise de sous-domaine survient quand un enregistrement DNS pointe encore vers une ressource cloud déprovisionnée qu'un attaquant peut réclamer ; le remède est une hygiène DNS disciplinée et le balayage des enregistrements pendants. L'abus de résolveur comme l'amplification utilise des résolveurs ouverts pour le DDoS ; n'exécutez pas de récursion ouverte. Savoir quel contrôle traite quelle technique évite l'effort gaspillé.

Détection : surveiller ses propres enregistrements#

La détection DNS la plus précieuse est la surveillance des changements sur vos propres zones. Prenez périodiquement un instantané de vos enregistrements autoritatifs — NS, MX, A/AAAA, TXT, CAA, DNSKEY et DS — et alertez sur toute différence que vous n'avez pas initiée par votre processus de changement. Surveillez de très près les changements de serveurs de noms (NS) et MX, car ce sont les indicateurs de détournement à fort impact. Surveillez les journaux de Certificate Transparency pour les certificats émis pour vos domaines que vous n'avez pas demandés, ce qui peut révéler un détournement ou une émission non autorisée. Suivez l'état de validation DNSSEC pour apprendre immédiatement si des signatures expirent ou si la chaîne se brise, ce qui cause des pannes ressemblant à des attaques.

Détection : télémétrie des requêtes et DNS passif#

Côté résolveur, journalisez et analysez les requêtes DNS de votre environnement. Les détections à forte valeur incluent les requêtes vers des domaines récemment enregistrés ou de faible réputation, des étiquettes de sous-domaine inhabituellement longues ou à forte entropie suggérant du tunneling DNS ou de l'exfiltration, des pics de requêtes TXT ou NULL, et des postes atteignant des fournisseurs DoH externes contournant votre résolveur sanctionné. Enrichissez avec le DNS passif pour voir la résolution historique d'un domaine et pivoter lors des enquêtes. Injectez les journaux du résolveur dans votre SIEM et établissez une base du comportement normal pour que les intervalles de balise et les destinations rares ressortent. Le but est de garder le DNS comme source de visibilité, pas comme angle mort.

Atténuation et durcissement#

Réunissez les couches en un programme de durcissement. Signez vos zones avec DNSSEC en utilisant des algorithmes modernes et automatisez le renouvellement des clés pour que les signatures n'expirent jamais de façon inattendue. Publiez un enregistrement CAA pour restreindre quelles autorités de certification peuvent émettre pour votre domaine, coupant l'émission non autorisée. Activez le verrou registrar et le verrou registre pour vos domaines les plus critiques. Imposez une MFA résistante au hameçonnage et le moindre privilège sur chaque compte de registrar et DNS. Exécutez un résolveur interne validant et chiffré, et orientez les clients vers lui tout en bloquant le DoH indésirable. Balayez régulièrement les enregistrements pendants permettant la prise de sous-domaine, et supprimez les entrées DNS dans le cadre du démantèlement de toute ressource cloud.

Le dilemme de visibilité du DoH#

Le DNS chiffré mérite une attention particulière car il change votre posture de détection. Quand les postes utilisent du DoH public, leurs résolutions sont invisibles à la surveillance DNS basée réseau, ce que les logiciels malveillants exploitent de plus en plus pour un command-and-control furtif. La réponse équilibrée n'est pas d'interdire le chiffrement mais de le posséder : déployez votre propre résolveur DoH/DoT, configurez les postes et navigateurs pour l'utiliser par politique (les domaines canary et les réglages entreprise existent exactement pour cela), et détectez ou bloquez les connexions vers des points de terminaison DoH non sanctionnés à la sortie. Cela préserve la vie privée de l'utilisateur face aux tiers tout en conservant la télémétrie dont vos défenseurs ont besoin.

Pièges courants#

La mauvaise configuration DNSSEC est la panne classique auto-infligée : une RRSIG expirée ou un enregistrement DS discordant rend tout votre domaine irrésoluble pour les résolveurs validants, alors automatisez le renouvellement et surveillez l'expiration. Oublier CAA laisse toute CA libre d'émettre pour vous. Laisser les comptes de registrar avec une MFA par SMS les garde hameçonnables. Supposer que DNSSEC apporte la confidentialité est faux : il ne chiffre rien. Supposer que DoH apporte l'authenticité est tout aussi faux : il sécurise le canal vers le résolveur mais pas l'origine des données. Et démanteler un service cloud sans retirer son enregistrement DNS est la cause numéro un de prise de sous-domaine. Chacun de ces points est évitable avec de la discipline de processus.

Liste de durcissement#

1. Signature DNSSEC activée avec renouvellement de clés automatisé et surveillance de l'expiration. 2. Enregistrements CAA publiés pour restreindre l'émission de certificats. 3. Verrou registrar sur tous les domaines ; verrou registre sur ceux critiques pour l'activité. 4. MFA résistante au hameçonnage et moindre privilège sur les comptes de registrar et d'hébergement DNS. 5. Surveillance automatisée des changements sur les enregistrements NS, MX, A/AAAA, TXT, CAA, DS avec alerte sur les différences inattendues. 6. Surveillance Certificate Transparency pour vos domaines. 7. Résolveur interne validant et chiffré avec orientation/blocage du DoH indésirable et journalisation des requêtes dans le SIEM. 8. Balayage des enregistrements pendants et nettoyage DNS câblés dans le démantèlement.

FAQ : DNSSEC remplace-t-il TLS ou le DNS chiffré ?#

Non. Ils résolvent des problèmes différents et vous voulez généralement les trois. DNSSEC authentifie les données DNS pour que vous puissiez faire confiance à la réponse reçue, mais il envoie cette réponse en clair. Le DNS chiffré (DoH/DoT) cache la requête aux observateurs réseau mais ne prouve pas l'origine des données. TLS sécurise la connexion vers la destination après la résolution DNS. Une posture robuste superpose DNSSEC pour l'intégrité, le DNS chiffré pour la confidentialité des requêtes et TLS avec des certificats restreints par CAA pour la connexion elle-même.

FAQ : le DoH est-il mauvais pour la sécurité en entreprise ?#

Le DoH est un outil, pas une menace en soi. Il protège réellement les utilisateurs sur les réseaux hostiles. Le risque pour les défenseurs est la perte de visibilité DNS quand les postes utilisent des résolveurs DoH externes qui contournent la surveillance de l'entreprise et peuvent dissimuler le trafic de logiciels malveillants. La réponse est d'exécuter votre propre résolveur chiffré, de pousser les clients vers lui par politique, et de détecter ou bloquer les connexions vers des fournisseurs DoH non sanctionnés à votre sortie. Ainsi fait, vous conservez à la fois la vie privée de l'utilisateur face aux tiers et la télémétrie interne dont dépend votre détection.

Conclusion#

La sécurité DNS est une discipline en couches, et les plus grandes erreurs viennent de croire qu'un contrôle couvre tout. DNSSEC authentifie les données et déjoue la falsification ; le DNS chiffré protège la requête en transit ; le durcissement du registrar et du compte protège le plan de contrôle où surviennent réellement les détournements les plus dommageables. Autour des trois, la surveillance continue de vos propres enregistrements, de Certificate Transparency et de la télémétrie des requêtes transforme le DNS d'un point unique de défaillance silencieux en un système d'alerte précoce. Signez vos zones, verrouillez votre registrar, possédez votre résolveur et surveillez vos enregistrements — et vous supprimez l'un des pivots les plus puissants qu'un attaquant peut utiliser contre vous.