Votre DNS fonctionne, mais est-il suffisamment sécurisé ?

Mal protégé ou mal géré, le DNS peut fragiliser la sécurité et l'activité de l'entreprise. Prévenir ces risques exige des protections adaptées, mais aussi les compétences pour les mettre en œuvre.

Le DNS (Domain Name System) fait partie des services que l’on finit par oublier tant qu’ils fonctionnent. Dans les politiques de cybersécurité des entreprises, il bénéficie rarement de la même attention que les sites, messageries et applications qui dépendent pourtant de lui. L’absence de panne ou d’incident tient alors lieu de garantie de sécurité. Or, même opérationnel, un DNS peut présenter des faiblesses qu’une attaque ou une mauvaise manipulation peut révéler. 

Quels incidents peuvent affecter l’infrastructure DNS de l’entreprise ?

Premier type d’incident, le détournement DNS consiste pour un attaquant à modifier frauduleusement les enregistrements d’un domaine ou les serveurs DNS désignés pour y répondre, afin de diriger les visiteurs ou les courriels vers des serveurs qu’il contrôle.

Le détournement peut également concerner les sous-domaines. Ici, l’attaquant va prendre le contrôle d’un sous-domaine légitime en exploitant un ancien enregistrement DNS oublié pointant encore vers un service supprimé ou un nom de domaine expiré. S’il recrée ce service ou récupère ce domaine, il pourra diffuser son propre contenu à l’adresse du sous-domaine de l’entreprise, sans même avoir à toucher à sa configuration DNS.

Les serveurs qui publient les enregistrements DNS de l’entreprise peuvent également devenir indisponibles, notamment sous l’effet d’une attaque par déni de service qui les sature de requêtes. Mais une interruption n’est pas forcément d’origine malveillante. Elle peut aussi résulter d’une panne chez l’hébergeur, d’une migration mal préparée ou d’une erreur de configuration.

L’attaque peut enfin se produire du côté du résolveur, c’est-à-dire le serveur qui recherche les réponses aux requêtes DNS des utilisateurs et qui peut être exploité indépendamment de l’entreprise, par exemple par son fournisseur d’accès à internet. Comme le résolveur conserve temporairement les réponses dans un cache pour traiter plus rapidement les demandes similaires suivantes, une réponse falsifiée qu’il accepte pourra être réutilisée et transmise à d’autres utilisateurs jusqu’à l’expiration de sa durée de validité. On parle ici d’empoisonnement de cache.

Quelles conséquences pour l’entreprise et ses utilisateurs ?

Un incident DNS peut perturber, voire interrompre l’activité de l’entreprise. Les applications utilisées par les clients ou les salariés ne parviennent alors plus à obtenir l’adresse IP nécessaire pour se connecter aux serveurs qui hébergent les services demandés, même lorsque ceux-ci fonctionnent normalement. Un site marchand inaccessible ne reçoit plus de commandes, l’espace client ne répond plus, le module de paiement cesse de fonctionner. Si la messagerie est touchée, des devis, des commandes ou des confirmations de livraison peuvent être retardés ou ne pas parvenir à leurs destinataires.

Le détournement DNS ou de sous-domaine expose aussi les utilisateurs au vol de données. Une fausse page de connexion peut inciter des clients ou des salariés à communiquer leurs identifiants. De même, des courriels acheminés vers un serveur contrôlé par l’attaquant peuvent lui livrer des informations confidentielles sur l’entreprise et ses partenaires. Un détournement peut aussi servir à publier de fausses informations sous une adresse légitime de l’entreprise. Les visiteurs risquent alors de lui attribuer des propos ou des annonces dont elle n’est pas à l’origine.

Ces incidents peuvent lourdement entamer la confiance des utilisateurs, particulièrement lorsqu’une adresse de l’entreprise a servi à les tromper. Rétablir le service ne suffit alors pas. Il faut aussi expliquer ce qui s’est passé et accompagner les personnes touchées.

Quelles mesures pour sécuriser son infrastructure DNS ?

La protection commence avec de bonnes pratiques de sécurisation des comptes administrateur chez le bureau d’enregistrement et l’hébergeur DNS : comptes individuels, authentification multifacteur, droits limités aux besoins (politique de moindre privilège) et suppression des accès inutiles (par exemple, après le départ d’un stagiaire).

Certains bureaux d’enregistrement proposent également un Registrar Lock, qui bloque le transfert du domaine vers un autre bureau tant que le verrou n’est pas levé. Pour les domaines critiques, un Registry Lock, comme FR Lock pour le .fr, renforce cette protection en verrouillant directement au niveau du registre plusieurs opérations sensibles, notamment le changement des serveurs DNS déclarés. La levée de ce verrou nécessite des vérifications renforcées.

L’entreprise doit également s’assurer auprès de son bureau d’enregistrement que ses domaines bénéficient de DNSSEC. Ce mécanisme permet de vérifier l’authenticité et l’intégrité des réponses DNS grâce à des signatures cryptographiques. Les résolveurs qui valident ces signatures peuvent ainsi détecter et rejeter les réponses falsifiées.

La sécurité du DNS repose aussi sur une gestion rigoureuse de ses enregistrements. L’entreprise doit savoir à quoi chacun correspond et vérifier régulièrement lesquels sont toujours nécessaires. Ceux qui renvoient vers un site ou un service doivent être supprimés lorsque l’entreprise cesse de les utiliser.

Pour limiter les interruptions, l’entreprise doit vérifier que les serveurs de son hébergeur DNS reposent sur des infrastructures indépendantes et bénéficient d’une protection contre les attaques par déni de service. Elle doit aussi vérifier sa configuration après chaque modification et surveiller son DNS dans la durée. Des tests depuis différents réseaux permettent de contrôler l’accessibilité des serveurs et l’exactitude de leurs réponses. Des alertes doivent signaler toute modification non prévue de la configuration.

Enfin, ces contrôles supposent de disposer, en interne ou chez un prestataire, des compétences nécessaires pour analyser les anomalies et les corriger. Au-delà des outils, l’entreprise a besoin de personnes capables de comprendre les effets d’une modification DNS, de préparer une migration et de réagir à un incident. Cette expertise doit aussi pouvoir se transmettre. Le départ d’un administrateur ou un changement de prestataire ne devrait pas faire perdre la connaissance de la configuration et des choix qui l’ont déterminée.