Protection DNS

Qu'est-ce que la protection DNS ?

La protection DNS regroupe les contrôles qui maintiennent le système de noms de domaine fiable et disponible : protéger de toute altération les enregistrements de votre domaine, s'assurer que les résolveurs renvoient des réponses authentiques, garder les serveurs de noms disponibles sous charge et filtrer les requêtes vers des domaines malveillants connus. Le DNS traduit des noms comme example.com en adresses IP ; s'il est détourné, empoisonné ou injoignable, les utilisateurs arrivent sur le mauvais serveur ou nulle part. Aucune fonction ne couvre tout : chaque contrôle répond à un risque.

Ce qui peut mal tourner

• Détournement DNS : un attaquant modifie vos enregistrements ou la délégation des serveurs de noms, en général avec un accès volé au registraire ou au fournisseur DNS, et envoie le trafic vers ses propres serveurs.
• Empoisonnement de cache : de fausses réponses sont stockées dans le cache d'un résolveur, et ses utilisateurs sont envoyés vers la mauvaise adresse jusqu'à l'expiration de l'entrée.
• Attaques sur la disponibilité : des inondations de requêtes saturent les serveurs de noms ou sont réfléchies vers une victime. Voir attaques DDoS sur le DNS et attaques par amplification DNS.
• Requêtes malveillantes : des utilisateurs ou des logiciels malveillants résolvent des domaines d'hameçonnage, de malware ou de commande et contrôle.
• Écoute : les requêtes DNS en clair sont lisibles sur le chemin réseau.

Les contrôles : ce que chacun fait et ne fait pas

Protéger le compte qui modifie vos enregistrements

L'alerte de la CISA sur le détournement d'infrastructure DNS recommande de changer les mots de passe des comptes pouvant modifier les enregistrements DNS, d'activer l'authentification multifacteur sur les comptes de registraire, d'auditer les enregistrements DNS publics et de rechercher les certificats émis pour vos domaines (CISA AA19-024A). Un verrou de registre ou de registraire protège en plus contre les transferts ou modifications non autorisés.

DNSSEC

DNSSEC signe les données DNS afin que les résolveurs validants puissent vérifier l'origine d'une réponse et son intégrité (RFC 4033). Il prouve aussi qu'un nom n'existe pas. Il n'offre pas de confidentialité, et la RFC 4033 précise qu'il ne protège pas contre les attaques par déni de service. Il n'empêche pas non plus le détournement via un compte volé, car l'attaquant peut publier des enregistrements signés valides.

DNS chiffré (DoH et DoT)

DNS sur HTTPS (RFC 8484) et DNS sur TLS (RFC 7858, port 853) chiffrent les requêtes entre le client et son résolveur, ce qui empêche l'écoute et l'altération sur le chemin. Ils ne valident pas la réponse par eux-mêmes : la RFC 8484 note que DoH n'apporte pas l'intégrité de la réponse et que DNSSEC est un mécanisme distinct. L'opérateur du résolveur voit toujours vos requêtes.

Durcir le résolveur

Si vous exploitez un résolveur récursif, ne le laissez pas ouvert à tout internet. La RFC 5358 décrit comment éviter que des serveurs récursifs à la configuration par défaut servent de réflecteurs dans des attaques par déni de service. Limitez la récursion à vos propres clients et appliquez une limitation du débit des réponses sur les serveurs faisant autorité.

Disponibilité de votre propre zone

Utilisez au moins deux serveurs de noms sur des réseaux distincts, idéalement chez un fournisseur qui les répartit sur plusieurs sites, et réglez les TTL avec soin : assez courts pour changer vite, assez longs pour résister à un incident du fournisseur. L'approche globale est traitée dans comment arrêter les attaques DDoS.

Filtrage DNS protecteur

Un résolveur filtrant bloque les requêtes vers des domaines connus pour l'hameçonnage ou les malwares. Il réduit l'exposition des utilisateurs, mais ne fait rien pour l'intégrité de votre propre zone.

Exemple

Une entreprise active la MFA et un verrou de registraire, signe sa zone avec DNSSEC, utilise deux fournisseurs faisant autorité indépendants et configure une alerte sur toute modification de ses enregistrements A et MX. Si un mot de passe est volé, le verrou et l'alerte réduisent la fenêtre d'exposition. Si un fournisseur subit une inondation, l'autre continue de répondre.

Erreurs fréquentes

• Croire que DNSSEC protège contre les DDoS. Ce n'est pas le cas, la RFC 4033 le dit explicitement.
• Croire que DoH rend les requêtes inviolables de bout en bout. Il ne protège que le trajet jusqu'au résolveur.
• Laisser les comptes de registraire avec des mots de passe partagés et sans MFA, la voie la plus simple vers le détournement.
• Exploiter un résolveur récursif ouvert que des attaquants peuvent utiliser comme réflecteur.
• Garder tous les serveurs de noms chez un seul fournisseur ou sur un seul réseau.
• Laisser expirer ou désaccorder les signatures DNSSEC ou les enregistrements DS. Les résolveurs validants renvoient alors des erreurs et le domaine paraît hors service.

Protection DNS, tests et supervision

On ne protège pas ce qu'on ne surveille pas. La supervision d'API de LoadFocus comprend des moniteurs DNS avec vérification des enregistrements et alertes : ils confirment depuis 25 régions que vos enregistrements se résolvent vers les bonnes valeurs, ce qui détecte aussi les problèmes de propagation après un changement. LoadFocus est un outil de supervision et de test, pas un produit de protection DNS ni de sécurité. Pour comparer les outils, voir les meilleurs outils de supervision d'API, et pour la pratique générale supervision réseau.

Questions fréquentes

Quelle différence entre protection DNS et DNSSEC ?

La protection DNS est l'ensemble des mesures. DNSSEC en est une : il authentifie les données DNS et détecte les altérations, mais ne chiffre pas les requêtes et ne défend pas contre le déni de service.

DNSSEC arrête-t-il les attaques DDoS ?

Non. La RFC 4033 indique que DNSSEC ne protège pas contre les attaques par déni de service. La disponibilité vient de la redondance, de la capacité, de la limitation de débit et d'une bonne configuration des résolveurs.

Qu'est-ce que DNS sur HTTPS, et est-ce suffisant ?

DNS sur HTTPS envoie les requêtes DNS dans HTTPS vers un résolveur, ce qui les masque au réseau local. Il ne valide pas les réponses et ne protège pas les enregistrements de votre domaine ; il complète donc DNSSEC et la sécurité des comptes sans les remplacer.

Comment empêcher le détournement DNS ?

Protégez les comptes du registraire et du fournisseur DNS avec des mots de passe uniques et l'authentification multifacteur, activez un verrou de registraire, auditez régulièrement vos enregistrements et configurez des alertes en cas de changement.

Comment savoir si mes enregistrements DNS ont changé de façon inattendue ?

Surveillez-les. Un contrôle DNS qui compare les valeurs résolues aux valeurs attendues, exécuté régulièrement depuis plusieurs lieux, vous alerte en cas d'écart.