Qu'est-ce qu'un DNS de protection ?

Le DNS de protection (PDNS) est un service de sécurité qui analyse les requêtes DNS afin d'identifier et d'atténuer les menaces pesant sur le trafic DNS. Recommandés par la National Security Agency (NSA) et la Cybersecurity and Infrastructure Security Agency (CISA), les services DNS de protection rendent les réseaux plus sûrs en bloquant les logiciels malveillants, les ransomwares, les virus, les campagnes d'hameçonnage et autres cyberattaques, et en empêchant les utilisateurs et le trafic d'accéder à des sites malveillants.

Le DNS (système de noms de domaine) est le GPS d'Internet, fournissant des informations sur les adresses informatiques des noms de domaine des sites Web. Le DNS traduit les domaines Web lisibles par l'homme, tels que « website.com », en adresses IP, des chaînes de chiffres et de lettres lisibles par les machines. Lorsqu'un utilisateur tape un nom de domaine dans un navigateur ou qu'un terminal cherche à accéder à un autre terminal, une requête DNS est envoyée à un serveur DNS récursif. Ce serveur DNS ou « résolveur » peut produire la réponse à partir des données stockées dans sa mémoire cache, transmettre la demande à d'autres serveurs récursifs qui peuvent résoudre la demande, ou contacter le serveur DNS faisant autorité qui conserve l'enregistrement officiel pour le domaine ou le terminal sélectionné.

De nombreuses résolutions DNS différentes sont potentiellement nécessaires pour répondre à une requête, ce qui rend la vitesse et la sécurité de la résolution DNS encore plus importantes. Pourtant, historiquement, le trafic DNS a souvent pu passer à travers les systèmes de sécurité sans être inspecté. En outre, le DNS n'a pas été conçu dans une optique de sécurité. Son objectif premier est de résoudre rapidement et précisément les requêtes DNS sans remettre en question l'intention des requêtes ou la légitimité des adresses IP.

Pour ces raisons, le DNS est très attractif pour les acteurs de la menace. De nombreuses cybermenaces ciblent le DNS, les acteurs malveillants cherchant à accéder aux systèmes informatiques ou à perturber les opérations. Les pirates peuvent utiliser le trafic DNS pour exfiltrer des données ou communiquer avec des appareils infectés par des logiciels malveillants dans un environnement informatique. Certaines attaques, comme les attaques Flood ou DDoS, menacent la disponibilité des serveurs DNS, empêchant les utilisateurs et les applications d'accéder aux ressources dont ils ont besoin. D'autres attaques compromettent la légitimité des serveurs DNS en remplaçant les informations DNS légitimes par de faux enregistrements qui redirigent les utilisateurs vers d'autres sites Web malveillants. Les attaquants peuvent également tirer parti des services DNS pour augmenter l'impact d'autres types d'attaques.

En comparant chaque requête DNS avec les renseignements sur les menaces, les services DNS de protection peuvent atténuer bon nombre de ces menaces DNS.

Le DNS de protection (PDNS) utilise un résolveur DNS basé sur une politique avec une fonctionnalité de données de politique pour renvoyer des réponses DNS basées sur des critères de politique.

Le PDNS utilise un résolveur DNS basé sur des règles avec une fonctionnalité de données pour renvoyer des réponses DNS basées sur des critères spécifiques.

Pour assurer la protection du DNS, un résolveur DNS de protection vérifie le nom de domaine et les adresses IP renvoyées par rapport à une liste de sites au contenu malveillant connu et empêche les connexions avec des sites suspects ou malveillants.

Lorsqu'un service DNS de protection identifie une requête malveillante ou suspecte, il a la possibilité de :

• bloquer la requête en renvoyant une réponse NXDOMAIN, ce qui signifie qu'aucune adresse IP valide n'a été trouvée
• rediriger la demande vers une autre page par défaut qui informe les utilisateurs que la demande de domaine initiale a été bloquée
• créer un entonnoir pour le domaine, ce qui retarde l'exécution des cybermenaces potentielles et permet aux équipes de cybersécurité d'enquêter sur la menace active

Les services PDNS peuvent :

• bloquer les nouveaux domaines en temps réel, dès leur enregistrement ou leur création
• retarder la résolution des domaines présentant certaines caractéristiques
• limiter le nombre de domaines potentiels susceptibles d'attaquer l'entreprise
• renforcer la résolution DNS sortante lors d'incidents liés à des ransomwares ou à des logiciels malveillants
• fournir une visibilité sur le trafic DNS sortant en temps réel et historique pour faciliter l'analyse et la réponse aux incidents

Les services DNS de protection classent les noms de domaine en fonction de renseignements sur les menaces concernant des domaines malveillants connus ou de nouveaux domaines malveillants basés sur la reconnaissance de modèles. Un système PDNS peut :

• Bloquer l'accès aux sites d'hameçonnage. Les attaques par hameçonnage utilisent souvent des domaines qui sont des sosies de domaines communs pour tromper les utilisateurs et leur faire révéler des informations d'identification, des informations de compte et d'autres données sensibles. Le service PDNS peut empêcher les utilisateurs de se connecter involontairement à ces sites ou de cliquer sur des liens malveillants.
• Empêcher la distribution de logiciels malveillants. Le DNS de protection peut bloquer et alerter les tentatives de connexion malveillante à des sites connus pour diffuser des contenus malveillants ou utilisés par des pirates pour commander et contrôler des logiciels malveillants.
• Bloquer les algorithmes de génération de domaines. Les acteurs malveillants utilisent des algorithmes de génération de domaines (DGA) pour générer par programmation des noms de domaine afin de contourner la sécurité DNS conçue pour bloquer les adresses IP et les noms de domaine statiques. Le PDNS protège contre ce type de logiciels malveillants en analysant et en marquant les attributs textuels, tels que l'entropie élevée des noms de requête, qui sont connus pour être associés aux DGA.
• Filtrer le contenu. Les entreprises peuvent également utiliser les fonctions de filtrage de contenu du PDNS pour empêcher les utilisateurs d'accéder à des sites qui ne respectent pas les politiques d'utilisation acceptable, tels que les sites Web de jeux d'argent ou de contenu pour adultes.

Les fonctionnalités du système de noms de domaine de protection peuvent être déployées en quelques minutes par un fournisseur de services PDNS. Les solutions de qualité supérieure devraient offrir le PDNS comme un service à haute disponibilité pouvant être déployé dans des architectures hybrides. La possibilité de personnalisation par terminal, par groupe et par réseau est essentielle. Les services qui fournissent une analyse et une détection alimentées par l'IA aideront à bloquer non seulement les menaces connues, mais aussi les menaces émergentes.