Points clés
- L’empoisonnement DNS (DNS spoofing) redirige les utilisateurs vers des sites malveillants grâce à l’insertion de faux enregistrements DNS, ce qui expose les entreprises, les MSP et les administrateurs informatiques à des risques de cybersécurité.
- Prévenez les attaques en verrouillant la récursivité DNS, en imposant la validation DNSSEC, en exigeant un DNS chiffré (DoH/DoT), en restreignant les résolveurs amont et en appliquant des mesures anti-spoofing et de contrôle du cache.
- Détectez l’empoisonnement DNS grâce à la surveillance des anomalies (variations de TTL, pics de NXDOMAIN/SERVFAIL, échecs DNSSEC). Utilisez NinjaOne pour automatiser l’application des politiques DNS, la collecte des journaux, le vidage des caches et le reporting de conformité.
L’empoisonnement DNS (aussi appelé DNS spoofing ou empoisonnement du cache DNS) représente une menace de cybersécurité majeure pour les réseaux d’entreprise, contre laquelle les administrateurs informatiques et les fournisseurs de services gérés (MSP) doivent se prémunir. Ce guide détaille les étapes à suivre pour prévenir l’empoisonnement DNS, avec une méthode reproductible de durcissement face aux attaques DNS.
L’empoisonnement DNS (DNS spoofing) en bref
L’empoisonnement DNS consiste, pour un attaquant, à insérer de faux enregistrements DNS dans le cache d’un serveur de noms de domaine, afin de rediriger les utilisateurs vers un site malveillant qu’il contrôle. Un pirate peut par exemple insérer un enregistrement qui envoie les utilisateurs vers un faux site bancaire, en tout point semblable à l’original, pour dérober leurs identifiants de connexion.
C’est possible en raison du fonctionnement même du DNS : chaque domaine dispose de serveurs DNS faisant autorité, et les résolveurs DNS s’appuient sur eux pour retrouver l’adresse IP des serveurs web et des autres services disponibles sur ce domaine. Vos appareils utilisent un résolveur DNS proche de vous (par exemple celui configuré sur l’intranet de votre entreprise ou celui fourni par votre FAI), et les informations récupérées lors de ces recherches sont mises en cache pour accélérer les requêtes suivantes.
Pour empoisonner le cache DNS d’un résolveur, les pirates tentent de forger une réponse qui semble provenir d’un serveur faisant autorité et de répondre plus vite que le serveur DNS légitime du domaine, dans l’espoir que leur réponse soit mise en cache à la place de la bonne. Une fois en cache, le résultat empoisonné sera renvoyé jusqu’à l’expiration ou la purge du cache. Comme le système DNS est distribué, les résolveurs peuvent interroger d’autres résolveurs pour récupérer leurs données en cache et accélérer les recherches (ce que l’on appelle la récursivité DNS), ce qui propage les enregistrements empoisonnés jusqu’à leur expiration.
Ce qu’il vous faut pour prévenir l’empoisonnement DNS
Pour prévenir les attaques par empoisonnement du cache DNS, vous aurez besoin de :
- l’autorité et les accès nécessaires pour configurer les résolveurs DNS récursifs internes et les règles de sortie du pare-feu
- un inventaire des résolveurs amont approuvés et des chemins de redirection
- une fenêtre de changement pour imposer les profils DoH/DoT et bloquer les DNS non autorisés
- une documentation centralisée pour conserver les journaux, les preuves et les synthèses mensuelles
Étape 1 : verrouiller la récursivité et les résolveurs amont
Les requêtes DNS itératives se produisent lorsque votre résolveur DNS demande à un serveur DNS où trouver le serveur faisant autorité pour un domaine afin d’en récupérer les enregistrements DNS. Cet autre serveur oriente alors le résolveur vers le serveur DNS suivant, jusqu’à ce que le serveur faisant autorité soit trouvé et que ses enregistrements DNS puissent être lus. Ce mécanisme a un coût en performance : les résolveurs utilisent donc la mise en cache pour éviter de refaire la recherche complète à chaque fois. On parle de DNS récursif lorsque le résolveur demande à un serveur DNS d’effectuer la recherche itérative à sa place.
Si un empoisonnement du cache DNS a eu lieu sur l’un des résolveurs de la chaîne, vous pouvez recevoir des enregistrements empoisonnés.
Pour vous en protéger, n’autorisez la récursivité que depuis des serveurs de confiance et désactivez le comportement de résolveur ouvert sur les interfaces accessibles depuis Internet. Limitez les serveurs amont aux seuls serveurs approuvés et surveillez les changements inattendus d’adresses IP dans les réponses. Définissez des TTL de cache prudents afin que les réponses empoisonnées aient une durée de vie courte si elles atteignent votre réseau.
Étape 2 : activer la validation DNSSEC
Configurez vos serveurs DNS pour qu’ils utilisent DNSSEC (Domain Name System Security Extensions). Cette technologie protège contre l’empoisonnement DNS en ajoutant une authentification au processus, sous la forme de signatures cryptographiques sécurisées apposées aux enregistrements DNS, ce qui permet aux systèmes de vérifier qu’ils n’ont pas été altérés.
Étape 3 : imposer le DNS chiffré
DNS over TLS (DoT) et DNS over HTTPS (DoH) doivent être utilisés pour chiffrer le trafic DNS entre les clients et les résolveurs. Imposez le DNS chiffré en bloquant le port sortant 53 (sauf pour vos résolveurs DNS), afin d’empêcher les appareils clients de revenir à un DNS non chiffré.
Vous pouvez également tirer parti de votre solution de gestion des terminaux pour déployer et imposer des configurations standardisées sur les serveurs et les appareils clients.
Étape 4 : ajouter des contrôles de premier saut et anti-spoofing à votre infrastructure
Utilisez des outils automatisés pour bloquer le trafic DNS inattendu ou potentiellement falsifié à la frontière de votre réseau. Protégez les résolveurs en randomisant les éléments des requêtes et en rejetant les réponses non concordantes. Consignez les configurations pour éviter toute dérive et effectuez des tests réguliers pour vérifier leur efficacité.
Étape 5 : détecter, réagir et prouver la conformité
Journalisez toute l’activité des résolveurs et des caches, pour générer des alertes en temps réel et permettre des diagnostics ultérieurs en cas de comportement inattendu. Configurez dans votre solution de surveillance des alertes sur les TTL inhabituels, les erreurs NXDOMAIN répétées (qui surviennent lorsqu’un domaine ne peut pas être résolu) ou les erreurs SERVFAIL (lorsque le serveur faisant autorité ne fournit pas de réponse valide), ainsi que sur les pics d’échecs de validation DNSSEC.
En cas d’incident d’empoisonnement DNS, videz tous les caches concernés, vérifiez les nouveaux enregistrements auprès d’un résolveur externe de confiance et consignez toutes les réponses (avant et après l’attaque) à des fins de comparaison et d’analyse post-incident.
Guide de démarrage rapide
Les fonctionnalités de sécurité de NinjaOne portent sur :
– Gestion des correctifs, mise à jour automatique du système d’exploitation et des logiciels tiers pour corriger les vulnérabilités
, Validation des logiciels, l’intégration WinGet valide les paquets auprès des antivirus avant le déploiement
, Gestion des appareils, des capacités MDM et RMM pour le contrôle et la surveillance des terminaux
, Surveillance du réseau, NMS (système de gestion de réseau) pour la visibilité sur le réseau
Ce qu’exige la prévention de l’empoisonnement DNS :
À grande échelle, la prévention de l’empoisonnement DNS repose généralement sur :
, la validation des requêtes DNS (implémentation de DNSSEC)
, le filtrage/blocage DNS des domaines malveillants
, la surveillance du trafic DNS et la détection des anomalies
, le durcissement des résolveurs récursifs
, les protections contre l’empoisonnement du cache
Recommandation :
Pour prévenir l’empoisonnement DNS à grande échelle, vous devrez :
1. implémenter DNSSEC au niveau de votre infrastructure DNS
2. déployer une solution de sécurité DNS dédiée (par exemple Cloudflare, Quad9 ou des équipements de filtrage DNS pour grandes entreprises)
3. utiliser NinjaOne en complément pour la sécurité, gestion des correctifs, surveillance des terminaux et application des politiques
4. associer le tout à la surveillance du réseau, le NMS de NinjaOne peut aider à repérer les schémas de trafic DNS suspects
NinjaOne donne les meilleurs résultats dans le cadre d’une approche de sécurité par couches, plutôt que comme solution de sécurité DNS autonome.
NinjaOne propose des outils automatisés pour configurer et appliquer vos politiques DNS et détecter les comportements suspects
NinjaOne offre une boîte à outils complète pour les administrateurs informatiques et les MSP : protection des terminaux, surveillance et gestion à distance (RMM), déploiement de configurations, automatisation et documentation. Grâce à cette combinaison unifiée d’outils parmi les meilleurs du secteur, vous pouvez déployer et appliquer une configuration DNS sur les serveurs et les appareils des utilisateurs finaux (Windows, Mac, iOS, Android et Linux), centraliser la collecte des journaux et générer des synthèses mensuelles de protection DNS destinées à la documentation client.
Vous pouvez ainsi vous concentrer sur la création de configurations durcies, les déployer de façon homogène sur l’ensemble de votre infrastructure et de vos appareils, et préserver l’intégrité de vos réseaux d’entreprise.
