Sécuriser le service DNS : guide perso et entreprise

Le DNS (Domain Name System) traduit les noms de domaine en adresses IP : sans lui, aucun site ni service de messagerie ne fonctionne. Il a été conçu à une époque où la sécurité n'était pas la priorité, et c'est justement ce qui en fait une cible : détourner une réponse DNS, c'est rediriger un utilisateur vers un faux site ou intercepter des e-mails.

Pour sécuriser le service DNS, il faut agir sur plusieurs plans : ce que l'on interroge (les résolveurs), ce que l'on publie (les zones) et qui a la main sur ce que l'on publie (le bureau d'enregistrement). Cet article distingue ce qui s'applique à un particulier et ce qui s'applique à une entreprise.

Les principaux risques liés au DNS

L'ANSSI le rappelle dans son guide Bonnes pratiques pour l'acquisition et l'exploitation de noms de domaine : la compromission d'un prestataire de gestion de noms de domaine peut entraîner l'interception de trafic et de courriers électroniques, des dénis de service ou des défigurations de sites.

Quelle protection pour quel risque ?

Le DoT utilise par défaut le port TCP 853 ; le DoH passe par HTTPS, donc par le port 443, ce qui le rend plus difficile à distinguer du trafic web. Vous pouvez consulter notre référentiel des ports et protocoles pour retrouver ces ports.

Sécuriser le service DNS pour un usage personnel

1. Choisir un résolveur de confiance

Par défaut, vous utilisez le résolveur de votre fournisseur d'accès. Vous pouvez choisir un service public reconnu, avec chiffrement et, selon les offres, filtrage des domaines malveillants. Comparez la politique de confidentialité (journaux conservés ou non) avant de choisir.

2. Activer le DNS chiffré

• Navigateur : les principaux navigateurs proposent l'option « DNS sécurisé » (DoH) dans leurs paramètres.
• Système : Windows 11 et les systèmes mobiles récents offrent un réglage de DNS chiffré ou de « DNS privé » (DoT).
• Routeur : si votre routeur le permet, activez le DNS chiffré pour protéger tout le foyer.

3. Protéger son routeur

Le détournement de la configuration DNS d'un routeur redirige tous les appareils du foyer :

• changez le mot de passe d'administration par défaut ;
• mettez à jour le micrologiciel ;
• désactivez l'administration à distance si vous n'en avez pas besoin ;
• vérifiez régulièrement les adresses DNS configurées.

4. Filtrer les domaines malveillants

Un résolveur avec filtrage (« DNS protecteur ») bloque les sites de phishing et de logiciels malveillants connus. Il ne remplace pas la vigilance, mais réduit le risque. Pour analyser un message douteux, voyez notre guide pour analyser un e-mail de phishing.

5. Sécuriser son propre nom de domaine

Si vous possédez un domaine :

• activez l'authentification multifacteur chez le bureau d'enregistrement ;
• activez le verrouillage du domaine et le renouvellement automatique ;
• activez DNSSEC si votre hébergeur DNS le propose ;
• publiez des enregistrements SPF, DKIM et DMARC pour limiter l'usurpation de votre adresse e-mail.

Sécuriser le service DNS en entreprise

L'ANSSI distingue, dans ses Recommandations relatives aux architectures des services DNS (20 août 2024), trois services : la résolution interne, la résolution Internet et l'hébergement de noms de domaine. Elle traite notamment des serveurs maîtres cachés, des transferts de zone, de DNSSEC, du durcissement des résolveurs et de la journalisation. C'est un bon plan d'action.

Côté serveurs faisant autorité (ce que vous publiez)

• Séparer les rôles : les serveurs exposés sur Internet ne doivent pas être ceux qui servent la résolution interne.
• Maître caché : le serveur qui détient la zone d'origine n'est pas exposé ; seuls les serveurs secondaires répondent au public.
• Restreindre les transferts de zone aux serveurs autorisés, avec authentification.
• Signer la zone avec DNSSEC et gérer le cycle de vie des clés.
• Diversifier l'hébergement DNS (plusieurs fournisseurs ou emplacements) et prévoir une protection contre le déni de service.
• Protéger le registrar : authentification forte, verrouillage, comptes nominatifs, alertes sur les modifications.
• Nettoyer les enregistrements orphelins (CNAME vers des services supprimés) pour éviter les reprises de sous-domaines.
• Publier un enregistrement CAA pour limiter les autorités de certification autorisées à émettre pour votre domaine.

Côté résolveurs (ce que vos utilisateurs interrogent)

• Ne pas laisser un résolveur récursif ouvert à Internet : limitez-le à vos réseaux.
• Valider DNSSEC sur vos résolveurs.
• Limiter le débit des réponses pour réduire l'abus par amplification.
• Mettre à jour rapidement les serveurs DNS : les vulnérabilités existent, comme l'illustre l'alerte du CERT-FR sur de multiples vulnérabilités dans Microsoft DNS server.
• Journaliser les requêtes et les envoyer à votre SIEM.

Le DNS protecteur

La CISA et la NSA indiquent que le DNS protecteur peut réduire fortement l'efficacité des campagnes de ransomware, de phishing et de botnets en bloquant les domaines malveillants connus, et que les journaux DNS servent à l'investigation et à la recherche de menaces.

Maîtriser le DNS chiffré dans l'entreprise

Le DNS chiffré protège la vie privée, mais peut aussi contourner vos contrôles si les postes utilisent un résolveur externe. La NSA recommande d'utiliser uniquement les résolveurs d'entreprise désignés afin de bénéficier des défenses en place. En pratique :

• configurez vos postes et navigateurs pour utiliser vos résolveurs ;
• limitez le DNS sortant (port 53) aux résolveurs autorisés et bloquez le DoT vers l'extérieur ;
• traitez le DoH (port 443) avec des politiques de navigateur et des listes de résolveurs connus ;
• chiffrez aussi le DNS entre vos postes et vos résolveurs internes, si votre architecture le permet.

Le NIST, dans sa publication SP 800-81 Rev. 3 sur le déploiement sécurisé du DNS, aborde le rôle du DNS dans une architecture zéro confiance, la protection de l'authenticité avec DNSSEC et la limitation des fuites d'informations dans les requêtes.

Détecter les abus

Surveillez les signaux suivants dans vos journaux DNS :

• requêtes vers des domaines très récents ou générés aléatoirement ;
• noms très longs ou volume anormal de requêtes vers un même domaine (tunnel DNS) ;
• résolutions vers des domaines connus comme malveillants ;
• modifications inattendues d'enregistrements ou de serveurs de noms.

Vérifier sa configuration

Vous pouvez contrôler vos enregistrements et vos serveurs de noms avec notre outil réseau (nslookup, dig, WHOIS) et examiner un domaine (DNS, WHOIS, certificat) avec l'OSINT sur un domaine.

Checklist rapide

Points clés

• Le DNS est une cible : falsification, détournement du registrar, écoute, tunnels et abus de serveurs.
• DNSSEC garantit l'intégrité, le DNS chiffré (DoT, DoH) la confidentialité : ils sont complémentaires.
• Protégez le registrar (MFA, verrouillage) : sa compromission permet d'intercepter trafic et e-mails.
• En entreprise, séparez les rôles, restreignez les transferts, fermez les résolveurs ouverts, journalisez et imposez vos résolveurs.
• Le DNS protecteur bloque les domaines malveillants connus et alimente la réponse à incident.