Attaques DNS : 10 types d'attaques DNS et des exemples concrets

 

Une attaque DNS désigne toute attaque visant le système de noms de domaine (DNS) ou en abusant pour rediriger les utilisateurs, voler des données ou mettre un service hors ligne. Chaque visite sur un site web et chaque envoi d’e-mail reposent sur des requêtes DNS, ce qui fait de l’infrastructure DNS une cible de choix. Comme le DNS traditionnel n’authentifie pas systématiquement l’origine de chaque réponse, les attaquants peuvent exploiter les failles au niveau de la résolution, de l’administration des domaines et de la configuration réseau pour perturber les services ou tromper les utilisateurs. Il existe plusieurs types d’attaques DNS, qui varient en fonction de la cible, des objectifs de l’attaquant et des méthodes de prévention. Dans cet article, nous passerons en revue les différents types d’attaques DNS et les moyens de les contrer. 

Qu'est-ce qu'une attaque DNS ?

Une attaque DNS est une cyberattaque qui vise le système de noms de domaine (DNS) ou qui détourne ses fonctions normales afin de compromettre la disponibilité, l'intégrité ou la confidentialité des services réseau. Le Système de noms de domaine (DNS) traduit les noms de domaine en informations, telles que des adresses IP, que les systèmes utilisent pour localiser des sites web, des serveurs de messagerie et d’autres services Internet.

Les attaques basées sur le DNS se déroulent généralement de trois manières :

1. Rediriger le trafic. Les pirates falsifient les réponses DNS, compromettent les paramètres DNS ou modifient les enregistrements de domaine afin de rediriger les utilisateurs vers une destination non souhaitée. L'usurpation DNS et le détournement DNS en sont des exemples.
2. Utilisation abusive du DNS comme canal ou comme arme. Le « tunneling DNS » permet de faire transiter des communications non autorisées ou des données volées au sein des requêtes et réponses DNS. L'amplification DNS utilise l'infrastructure DNS pour augmenter le volume de trafic dirigé vers une victime.
3. Surcharger les services DNS. Les attaques par inondation envoient un nombre excessif de requêtes afin d'épuiser les ressources du serveur. Les attaques NXDOMAIN utilisent des requêtes portant sur des noms inexistants pour forcer des recherches répétées et surcharger l'infrastructure DNS.

Ces techniques peuvent affecter les résolveurs récursifs, les serveurs de noms faisant autorité, les appareils individuels, les bureaux d'enregistrement de noms de domaine ou les réseaux qui les relient.

De nombreuses attaques aboutissent en raison d'une faille existante, telle que des contrôles d'accès insuffisants, des services DNS exposés ou l'absence de validation de sécurité. 

Aperçu des types d'attaques DNS

La liste suivante des attaques DNS présente chaque technique, sa cible, l'objectif de l'attaquant et une mesure de sécurité appropriée.

Les 10 types d'attaques DNS les plus courants

Les attaques DNS se distinguent par leurs méthodes et leurs cibles. Certaines manipulent les réponses renvoyées par un résolveur, tandis que d’autres compromettent l’administration des domaines, dissimulent du trafic malveillant ou saturent l’infrastructure. Comprendre le fonctionnement de chaque attaque aide les équipes de sécurité à identifier les bons signaux d’alerte.

1. Usurpation DNS et empoisonnement du cache

L'usurpation DNS se produit lorsqu'un attaquant fournit de fausses informations DNS afin de détourner une requête. L'empoisonnement du cache DNS est une technique apparentée, dans laquelle un résolveur récursif accepte et stocke une réponse DNS falsifiée. Les autres utilisateurs qui se fient à cette réponse mise en cache peuvent alors être redirigés vers une adresse IP contrôlée par l'attaquant jusqu'à l'expiration de l'enregistrement ou à la purge du cache.

Comment ça marche :

1. Un résolveur reçoit une requête de recherche de domaine.
2. L'attaquant tente d'injecter une réponse falsifiée qui semble correspondre à la requête en attente.
3. Si le résolveur accepte la réponse falsifiée, il risque de mettre en cache l'enregistrement erroné.
4. Les requêtes suivantes peuvent renvoyer l'adresse malveillante au lieu de l'adresse légitime.

L'attaquant peut exploiter cette redirection pour héberger des copies trompeuses de sites web, collecter des identifiants ou intercepter des informations sensibles. Une attaque par empoisonnement réussie peut toucher plusieurs utilisateurs si un résolveur partagé est compromis.

Comment le repérer: Vérifiez lorsque un résolveur renvoie une adresse IP qui ne correspond pas aux données DNS faisant autorité attendues.

En savoir plus sur l'usurpation d'adresse DNS et l'empoisonnement DNS, et découvrez comment le protocole DNSSEC permet aux résolveurs de validation de rejeter les données DNS falsifiées lorsque les enregistrements concernés sont correctement signés et que la validation est activée. (Remarque: le protocole DNSSEC ne protège pas contre toutes les formes d’attaques DNS)

2. Le détournement DNS (et ses 4 types)

Le détournement DNS se produit lorsqu'un pirate prend le contrôle de la résolution DNS ou des paramètres d'un domaine et modifie la destination des requêtes. Contrairement à l'empoisonnement de cache, qui consiste à injecter de fausses réponses dans le cache d'un résolveur, le détournement implique souvent la compromission du périphérique, du routeur, du service DNS ou du compte d'administration du domaine chargé de la résolution.

Il existe quatre formes courantes :

• Détournement local : un logiciel malveillant modifie les paramètres DNS d'un ordinateur ou d'un autre appareil afin que ses requêtes soient acheminées vers un résolveur contrôlé par le pirate.
• Détournement de routeur : un pirate informatique prend le contrôle d'un routeur et modifie ses paramètres DNS, ce qui peut affecter plusieurs appareils connectés.
• Détournement de type « homme au milieu » : un attaquant intercepte les requêtes DNS en cours de transmission et tente de modifier les réponses avant qu'elles n'atteignent l'appareil demandeur.
• Détournement par un serveur DNS malveillant ou par un bureau d'enregistrement : un attaquant modifie les délégations des serveurs de noms de domaine ou les enregistrements DNS via un compte de fournisseur DNS ou de bureau d'enregistrement compromis.

Fonctionnement: L'attaquant accède à l'un de ces points de contrôle, modifie la destination DNS ou le chemin de réponse, et redirige les utilisateurs vers une infrastructure qu'il contrôle. La redirection qui en résulte peut être utilisée à des fins d'hameçonnage, de vol d'identifiants, de diffusion de logiciels malveillants ou de perturbation des services.

Ce que l'attaquant en tire : le contrôle de la destination vers laquelle sont redirigés les utilisateurs concernés, avec un accès potentiel aux identifiants, aux informations sensibles ou au trafic de l'entreprise.

Comment le repérer : recherchez des modifications inattendues des enregistrements NS ou A, des serveurs DNS inconnus configurés sur des appareils ou des routeurs, ainsi que des émissions de certificats qui ne s'expliquent pas par une activité autorisée. L'émission d'un certificat ne suffit pas à elle seule à prouver un détournement, mais elle peut justifier l'ouverture d'une enquête.

3. Tunneling DNS

Tunneling DNS utilise les requêtes et les réponses DNS pour acheminer des données ou des communications qui ne sont pas des recherches DNS ordinaires. Les attaquants peuvent utiliser cette technique pour établir des canaux de commande et de contrôle, transférer des informations volées ou communiquer avec des systèmes compromis tout en se fondant dans le trafic réseau habituel.

Fonctionnement: Les données sont encodées dans des noms de domaine ou des champs d'enregistrements DNS, souvent à l'aide de sous-domaines ou d'enregistrements TXT. Un système contrôlé par l'attaquant reçoit les requêtes et reconstitue les informations transmises. Selon la mise en œuvre, le tunnel peut prendre en charge une communication bidirectionnelle.

Le DNS étant souvent autorisé par les contrôles de sécurité réseau, les tunnels malveillants peuvent passer inaperçus lorsque les entreprises n'analysent pas les schémas de trafic DNS. Cependant, le tunneling DNS n'est pas automatiquement malveillant. Certains outils légitimes de sécurité et de réseau utilisent également une communication basée sur le DNS.

Ce que l'attaquant en tire : un canal caché permettant le contrôle à distance, l'exfiltration de données ou la communication avec des systèmes compromis.

Comment le repérer : recherchez les requêtes de sous-domaines anormalement longues ou à forte entropie, les requêtes répétées vers un domaine inconnu, ou un volume élevé de requêtes TXT qui ne correspondent pas à l'activité normale de l'entreprise.

Surveillance de la sécurité DNS peut aider à identifier des schémas suspects sans pour autant considérer chaque requête inhabituelle comme une attaque.

4. Attaques d'amplification DNS

Amplification DNS est une forme d'attaque par déni de service distribué (DDoS) qui exploite les serveurs DNS pour envoyer un volume important de trafic vers une victime. Elle s'appuie généralement sur des résolveurs récursifs accessibles au public qui répondent aux requêtes provenant de sources arbitraires.

Comment ça marche :

1. L'attaquant identifie les serveurs DNS susceptibles d'être exploités pour générer des réponses plus volumineuses que les requêtes qu'ils reçoivent.
2. L'attaquant envoie des requêtes DNS dans lesquelles l'adresse IP source de la victime a été falsifiée.
3. Les serveurs DNS envoient leurs réponses à la victime plutôt qu'à l'attaquant.
4. Ces réponses combinées épuisent la bande passante du réseau de la victime et peuvent rendre ses services indisponibles.

Ce phénomène est appelé « réflexion », car ce sont des serveurs DNS tiers qui acheminent le trafic, et « amplification », car les réponses peuvent être plus volumineuses que les requêtes. Cette attaque peut affecter les sites web, les liaisons réseau et d'autres services accessibles depuis Internet.

Ce que l'attaquant y gagne : un moyen de générer du trafic perturbateur sans envoyer chaque paquet directement depuis sa propre infrastructure.

Comment le détecter : surveillez les pics inattendus de trafic entrant lié au DNS, le trafic inhabituel provenant de plusieurs serveurs DNS, ainsi que la saturation du réseau coïncidant avec une dégradation du service.

La faiblesse sous-jacente pourrait être des vulnérabilités du DNS qui autorisent des requêtes récursives sans restriction. 

5. Attaques par inondation DNS

Une attaque par inondation DNS submerge l'infrastructure DNS d'un volume élevé de requêtes, épuisant ainsi la capacité de traitement ou les ressources réseau. Les attaquants peuvent utiliser des botnets composés d'appareils compromis pour générer un trafic à un débit que le service DNS de la cible n'est pas en mesure de gérer.

Fonctionnement: Les appareils compromis envoient un grand nombre de requêtes à un service DNS cible. Si le trafic entrant dépasse la capacité du service, les requêtes légitimes peuvent être retardées, rejetées ou rester sans réponse. Les utilisateurs peuvent alors se retrouver dans l'impossibilité d'accéder aux sites web ou aux applications qui dépendent de l'infrastructure DNS affectée.

Les attaques par inondation DNS n'utilisent pas toutes le même modèle de requête. Certaines ciblent les serveurs de noms faisant autorité en leur envoyant un grand nombre de requêtes d'apparence banale, tandis que d'autres utilisent des sous-domaines aléatoires ou exploitent les mécanismes de réflexion et d'amplification.

Ce que l'attaquant y gagne : une perturbation du service, une perte de disponibilité et, éventuellement, une diversion par rapport à d'autres activités malveillantes.

Comment le repérer : recherchez des augmentations soudaines du nombre de requêtes par seconde, une latence de réponse élevée, des requêtes perdues ou une hausse soutenue du trafic provenant de sources distribuées.

Les inondations DNS, les attaques par amplification et les attaques NXDOMAIN peuvent toutes contribuer à l'activité DDoS liée au DNS DDoS liées au DNS, mais elles se distinguent par leurs schémas de trafic et leurs mécanismes. Un déluge direct submerge un service de requêtes ; l’amplification renvoie des réponses plus volumineuses vers la victime ; et un déluge NXDOMAIN envoie de manière répétée des requêtes pour des noms inexistants.

6. Attaques « NXDOMAIN » et par sous-domaines aléatoires (« Water Torture »)

Une attaque de type NXDOMAIN cible l'infrastructure DNS en lui envoyant des requêtes portant sur des noms de domaine ou des sous-domaines qui n'existent pas. Une variante courante, appelée « attaque par sous-domaines aléatoires » ou « torture de l'eau DNS », génère un grand nombre de noms de sous-domaines imprévisibles afin de réduire la probabilité que les réponses soient déjà mises en cache.

Comment ça marche :

1. L'attaquant génère un grand nombre de sous-domaines aléatoires sous un domaine cible.
2. Un botnet ou une autre source de trafic envoie des requêtes concernant ces noms.
3. Les noms étant nouveaux ou inexistants, les résolveurs récursifs peuvent être amenés à transférer les requêtes vers des serveurs de noms faisant autorité.
4. Le nombre de requêtes répétées mobilise les ressources du serveur et peut retarder les réponses DNS légitimes.

Cette attaque est particulièrement efficace lorsque le modèle de requête contourne la mise en cache habituelle. La réponse NXDOMAIN qui en résulte indique simplement que le nom demandé n'existe pas. La réponse en elle-même ne constitue pas une preuve d'attaque ; ce qui est préoccupant, c'est un volume ou un modèle anormal de telles requêtes.

Ce que l'attaquant obtient : la possibilité de perturber ou d'interrompre la résolution DNS sans avoir à modifier les enregistrements DNS légitimes.

Comment le repérer : examinez les pics soudains de réponses « NXDOMAIN », les taux de requêtes anormalement élevés pour des sous-domaines uniques et l'augmentation de la charge sur les serveurs de noms faisant autorité.

7. Prise de contrôle d'un sous-domaine

Une prise de contrôle d’un sous-domaine se produit lorsqu'un attaquant prend le contrôle d'un service ou d'une ressource externe vers laquelle la configuration DNS d'un domaine pointe toujours. Cela se produit généralement lorsqu'une application hébergée dans le cloud, un site web ou un service tiers est mis hors service, mais que son enregistrement DNS reste en place.

Comment ça marche :

1. Un sous-domaine dispose d'un enregistrement DNS, souvent de type CNAME, qui pointe vers un service tiers.
2. Le service ou la ressource est supprimé(e), laissant la destination DNS sans affectation.
3. Un attaquant identifie la ressource non réclamée et l'enregistre ou la provisionne auprès du fournisseur concerné.
4. L'attaquant diffuse du contenu sous le sous-domaine de l'organisation, en utilisant éventuellement le nom de domaine de confiance pour faire passer ses activités malveillantes pour légitimes.

Ce que l'attaquant en tire : la possibilité d'héberger du contenu non autorisé sous un sous-domaine de confiance. Selon le service et l'application concernés, cela pourrait faciliter le phishing, la diffusion de logiciels malveillants ou des attaques visant les utilisateurs qui font confiance à l'organisation.

Comment le repérer : recherchez les enregistrements DNS pointant vers des services qui n'existent plus, les pages d'erreur des fournisseurs d'accès sur des sous-domaines actifs ou du contenu inattendu diffusé via un nom d'hôte géré par l'entreprise.

A étude USENIX Security de 2021 réalisée par Squarcina et ses collègues a mis en évidence des vulnérabilités permettant la prise de contrôle de 1 520 sous-domaines répartis sur 887 domaines figurant parmi les 50 000 premiers de la liste Tranco. Il s'agit là d'un résultat de l'étude, et non d'une preuve indiquant que 15 % de l'ensemble des 50 000 premiers domaines étaient vulnérables. L'article a identifié les services tiers désactivés comme la principale cause parmi les sous-domaines vulnérables examinés.

8. Attaques DNS de type « homme du milieu » (sur le chemin)

Une attaque de type « man-in-the-middle » se produit lorsqu'un attaquant parvient à observer ou à interférer avec les communications entre un appareil et son résolveur DNS. Sur un réseau non fiable ou compromis, tel qu'un point d'accès Wi-Fi public malveillant, un attaquant peut tenter d'intercepter des requêtes DNS non chiffrées ou de manipuler les réponses.

Fonctionnement : Un appareil envoie une requête DNS via une connexion réseau. Si un attaquant parvient à s'interposer sur le chemin de communication, il peut observer les domaines demandés ou tenter de modifier les réponses avant qu'elles n'atteignent l'appareil. La réussite de l'attaque dépend de la position sur le réseau, du mode de transport et des mécanismes de validation utilisés.

Ce que l'attaquant peut en tirer : une visibilité potentielle sur l'activité DNS, la possibilité de rediriger les utilisateurs ou des informations pouvant servir à mener d'autres attaques.

Comment le repérer : examinez les réponses DNS inattendues sur un réseau spécifique, les problèmes de redirection récurrents ou les modifications suspectes qui ne se produisent que lorsque des appareils se connectent via un point d'accès particulier.

L'utilisation de MTA-STS chiffre le trafic de messagerie entre un client et son résolveur, réduisant ainsi les risques d'interception et de falsification en cours de route. Il ne protège toutefois pas toutes les étapes du processus de résolution DNS.

9. Rebinding DNS

Le « DNS rebinding » est une attaque qui exploite l'interaction entre les navigateurs et la résolution DNS pour faire en sorte qu'un site web public communique avec des systèmes situés sur le réseau local de la victime. Un attaquant prend le contrôle d'un domaine et modifie l'adresse IP renvoyée par ses réponses DNS, ce qui amène le navigateur à se connecter à une adresse privée ou interne après une connexion initiale à une adresse publique.

Comment ça marche :

1. Une victime consulte une page hébergée sur un domaine contrôlé par un pirate.
2. Au départ, le nom de domaine redirige vers une adresse hébergeant la page de l'attaquant.
3. L'attaquant modifie la réponse DNS de sorte que les requêtes suivantes renvoient une adresse IP interne.
4. Si les protections du navigateur et du réseau ne bloquent pas la requête, les scripts de la page peuvent tenter de communiquer avec un routeur, un appareil IoT ou un service d'administration interne.

Cette attaque peut exploiter les relations de confiance entre un navigateur et le site d'origine, exposant ainsi potentiellement des services qui ne sont pas directement accessibles depuis l'Internet public. Son succès dépend du comportement du navigateur, de la mise en cache DNS, de la configuration réseau et des mesures de protection mises en place par le service interne.

Ce que l'attaquant peut obtenir : un accès potentiel aux interfaces Web internes ou aux informations exposées par des appareils et des applications vulnérables.

Comment le repérer : examinez les requêtes inattendues provenant d'un domaine public vers des plages d'adresses IP privées, en particulier lorsqu'elles sont associées à une activité suspecte du navigateur.

Le « DNS rebinding » ne consiste pas simplement à falsifier une réponse DNS. Cette technique repose sur la modification minutieuse des réponses DNS afin d'exploiter l'accès du navigateur au réseau de la victime.

10. Le « typosquatting » et les noms de domaine similaires

Le « typosquatting » consiste à enregistrer un nom de domaine qui ressemble à un nom de domaine légitime, souvent par le biais d'une variante orthographique, d'un caractère ajouté ou d'un domaine de premier niveau différent. Les domaines ressemblants peuvent être utilisés pour usurper l'identité d'entreprises, d'employés, de fournisseurs ou de services en ligne.

Il ne s'agit pas d'une attaque visant l'infrastructure DNS de la victime elle-même. Il s'agit d'une utilisation abusive du système de nommage DNS visant à créer un domaine trompeur que les utilisateurs pourraient confondre avec un domaine légitime.

Comment ça marche :

1. Un pirate enregistre un nom de domaine ressemblant à celui d'une marque ou d'un partenaire commercial de confiance.
2. L'attaquant configure les enregistrements DNS, y compris les enregistrements MX si le domaine doit être utilisé pour la messagerie électronique.
3. Ce domaine sert à héberger un site web frauduleux, à envoyer des messages de hameçonnage ou à usurper l'identité d'un dirigeant ou d'un fournisseur.
4. Les victimes peuvent divulguer leurs identifiants, transférer de l'argent ou communiquer des informations commerciales sensibles.

Ce que l'attaquant y gagne : une identité crédible pour mener des attaques de hameçonnage, des attaques de type « Business Email Compromise » (BEC), le vol d'identifiants et la fraude. La publication d'enregistrements MX ne prouve pas en soi l'existence d'une intention malveillante, mais elle peut indiquer qu'un domaine similaire est configuré pour recevoir des e-mails.

Comment le repérer : soyez attentifs aux domaines similaires récemment enregistrés qui commencent à publier des enregistrements MX, en particulier lorsque ces noms imitent votre marque, vos dirigeants ou vos fournisseurs.

Exemples concrets d'attaques DNS

Plusieurs incidents de sécurité très médiatisés montrent à quel point les failles du DNS et les attaques visant les infrastructures associées peuvent avoir des répercussions sur les utilisateurs, les entreprises et les services Internet. Les exemples suivants illustrent différentes techniques d'attaque et les enseignements qu'il est possible d'en tirer.

1. Vulnérabilité « Kaminsky » liée à l'empoisonnement du cache DNS (2008)

En 2008, le chercheur en sécurité Dan Kaminsky a révélé une grave faille affectant les résolveurs DNS. Les pirates pouvaient envoyer un grand nombre de réponses falsifiées afin d’empoisonner le cache d’un résolveur et de rediriger les utilisateurs vers des destinations malveillantes. Cette révélation a conduit à des modifications coordonnées au niveau des logiciels et de l’infrastructure DNS, notamment une meilleure randomisation des ports source des requêtes.

Leçon: Le renforcement de la sécurité des résolveurs et la validation DNSSEC contribuent à la protection contre les données DNS falsifiées. blog.cloudflare.com .

2. Attaque DDoS contre Dyn DNS (2016)

En octobre 2016, le botnet Mirai a été utilisé dans le cadre d'une importante attaque DDoS de grande ampleur contre Dyn, un fournisseur de services DNS. Cette perturbation a affecté l’accès à de nombreux services Internet connus qui s’appuyaient sur l’infrastructure de Dyn. Mirai avait compromis des appareils connectés à Internet, notamment des routeurs et des caméras, et les avait utilisés pour générer du trafic d’attaque.

Leçon: La disponibilité du DNS dépend d'une infrastructure résiliente et d'une protection efficace contre les attaques DDoS. Les appareils connectés dont la sécurité est insuffisante peuvent être utilisés dans le cadre d'une attaque de bien plus grande ampleur.

3. Campagnes de détournement DNS : Sea Turtle et DNSpionage (2018-2019)

Des chercheurs en sécurité ont recensé des campagnes dans lesquelles des pirates ont ciblé l’infrastructure DNS et les processus d’administration des domaines afin de rediriger le trafic. La campagne « Sea Turtle » consistait à compromettre des comptes et des infrastructures liés au DNS, tandis que « DNSpionage » recourait au détournement DNS dans le cadre d’une activité d’espionnage plus large. Ces opérations ont démontré que les attaquants pouvaient cibler la résolution de domaines de confiance plutôt que de se limiter à des ordinateurs individuels.

Leçon: Les bureaux d'enregistrement de noms de domaine, les fournisseurs DNS et les configurations des serveurs de noms doivent être considérés comme des éléments essentiels à la sécurité. Toute modification inattendue de la délégation d'un nom de domaine doit faire l'objet d'une enquête immédiate. 

4. Incident de détournement DNS/BGP de MyEtherWallet (2018)

En avril 2018, les utilisateurs qui tentaient d'accéder au service de cryptomonnaie MyEtherWallet ont été redirigés vers un site web frauduleux lors d'un incident impliquant un détournement de route BGP et l'infrastructure DNS. Cet incident a mis en évidence la manière dont les attaques visant le routage Internet et la résolution de noms peuvent se combiner pour faire passer une destination malveillante pour légitime.

Leçon : La sécurité du DNS doit être prise en compte au même titre que la sécurité du routage, la validation des certificats et la protection des comptes et des transactions sensibles.

5. Attaque par empoisonnement du cache DNS SAD (2020)

En novembre 2020, des chercheurs ont révélé SAD DNS, une technique utilisant un canal latéral lié au comportement du réseau pour relancer des attaques par empoisonnement du cache DNS contre des résolveurs vulnérables. Cette étude a montré que les améliorations apportées après la divulgation de Kaminsky en 2008 n'avaient pas éliminé toutes les techniques d'empoisonnement du cache possibles.

Leçon : Les mesures de protection du DNS doivent évoluer à mesure que les chercheurs découvrent de nouvelles méthodes d'attaque. Veillez à maintenir à jour vos logiciels DNS et utilisez la validation DNSSEC lorsque celle-ci est prise en charge.

Comment détecter une attaque DNS

Les attaques DNS n'entraînent pas toujours une interruption immédiate du service. Certaines redirigent discrètement les utilisateurs, établissent des canaux de communication cachés ou préparent un domaine en vue d'une tentative d'hameçonnage. La surveillance des changements et des activités DNS inhabituelles peut aider à identifier un problème avant qu'il ne cause des dégâts plus importants.

Soyez attentifs à ces signes avant-coureurs :

• Modifications inattendues des enregistrements NS, A, AAAA ou MX. Vérifiez si ces modifications ont été autorisées et si elles correspondent à la configuration prévue.
• Émission de certificats non sollicitée. Vérifiez les certificats inconnus associés à vos domaines, en particulier lorsqu'ils sont associés à d'autres activités suspectes.
• Pics soudains de volume de requêtes. Une forte augmentation du nombre de requêtes ou de réponses NXDOMAIN peut indiquer une attaque par inondation ou une attaque par sous-domaines aléatoires.
• Sous-domaines inhabituels, codés ou très longs. Des requêtes répétées et à forte entropie vers des domaines inconnus peuvent indiquer l'existence d'un tunnel DNS.
• Les utilisateurs accèdent au mauvais site web. Comparez les réponses des résolveurs avec les enregistrements de référence et examinez les redirections inattendues.
• Modifications inattendues de la configuration DNS sur des appareils ou des routeurs. Celles-ci peuvent indiquer un détournement local ou au niveau du routeur.

Aucun de ces signaux ne prouve à lui seul qu'il s'agit d'une attaque. Ces changements peuvent avoir des explications légitimes ; il convient donc d'examiner le moment où ils se sont produits, leur origine, leur ampleur et leur contexte avant de tirer des conclusions.

La surveillance continue de la sécurité DNS transforme les modifications et les activités anormales en alertes exploitables. Pour effectuer une vérification manuelle, utilisez notre outil de recherche d'enregistrements DNS pour inspecter les enregistrements publiés. Si vous soupçonnez un incident en cours, conservez les journaux pertinents et confiez l'enquête à votre équipe de sécurité.

Impact des attaques DNS

Les attaques DNS peuvent avoir des conséquences qui vont au-delà de la simple indisponibilité d'un site web. Leur impact dépend de la technique utilisée, des systèmes compromis et de la rapidité avec laquelle l'incident est détecté.

• Interruptions d'activité: Les inondations et les attaques DDoS peuvent empêcher les utilisateurs légitimes de résoudre des noms de domaine, interrompant ainsi l'accès aux sites web, aux applications et à d'autres services en ligne.
• Vol de données et accès non autorisé: l'usurpation d'identité, le détournement et le tunneling peuvent faciliter le vol d'identifiants, l'exfiltration de données ou l'accès à des systèmes sensibles.
• Hameçonnage et fraude: Les domaines ressemblants et les redirections malveillantes peuvent donner l'impression que des sites Web ou des e-mails frauduleux sont dignes de confiance, ce qui augmente le risque de vol d'identifiants et de compromission des e-mails professionnels.
• Atteinte à l'image de marque et à la réputation: Les clients peuvent perdre confiance dans une entreprise après avoir été redirigés vers des sites malveillants ou avoir reçu des communications frauduleuses semblant provenir de celle-ci.
• Coûts liés à la gestion des incidents: Les organisations peuvent être amenées à enquêter sur l'attaque, à restaurer les configurations DNS, à isoler les systèmes compromis, à communiquer avec les utilisateurs concernés et à rétablir les services perturbés.

Comment prévenir les attaques DNS

La prévention des attaques DNS nécessite des mesures de contrôle adaptées à la technique utilisée. Le protocole DNSSEC permet de valider les données DNS, la sécurité des bureaux d'enregistrement réduit le risque de modifications non autorisées des noms de domaine, et la surveillance du trafic peut permettre de détecter les requêtes suspectes. Aucune mesure de contrôle ne permet à elle seule de prévenir tous les types d'attaques DNS.

Utilisez le tableau ci-dessous comme point de départ pour associer les attaques courantes aux mesures de protection adaptées.

Les organisations doivent également surveiller les modifications apportées aux enregistrements DNS de référence, vérifier régulièrement les droits d'accès des bureaux d'enregistrement et des fournisseurs DNS, et supprimer les enregistrements qui renvoient vers des services hors service. Un outil gratuit de vérification DNSSEC peut aider à vérifier l'état de la sécurité DNSSEC d'un domaine, mais un résultat positif ne garantit pas que tous les aspects de la sécurité DNS soient correctement configurés.

L'authentification des e-mails revêt une importance tout aussi grande lorsque des pirates utilisent des domaines similaires ou des domaines piratés pour se faire passer pour des expéditeurs de confiance. La mise en œuvre de DMARC, SPF et DKIM aide les systèmes de messagerie destinataires à authentifier les messages. Une politique DMARC de type p=reject, lorsqu’elle est correctement mise en œuvre et soutenue par une authentification alignée, ordonne aux destinataires de rejeter les messages qui échouent à l’évaluation DMARC, bien que le comportement d’application dépende du système de réception.

Pour consulter la liste complète étape par étape, rendez-vous sur notre page liste des bonnes pratiques en matière de sécurité DNS .

Foire aux questions

Quelle est l'attaque DNS la plus courante ?

Il n'existe pas de type d'attaque DNS qui soit universellement considéré comme le plus courant. Les menaces liées au DNS comprennent l'usurpation d'identité, le détournement, le tunneling et les attaques par déni de service. Leur prévalence varie en fonction du secteur d'activité, de l'exposition du réseau et de la méthodologie de signalement. Les organisations doivent surveiller l'activité DNS et hiérarchiser leurs mesures de défense en fonction de leur infrastructure et de leur exposition aux menaces.

Quels sont les deux types d'attaques visant les résolveurs DNS ouverts ?

Deux techniques d'attaque courantes impliquant des résolveurs DNS ouverts sont l'amplification et la réflexion, qui exploitent les réponses des résolveurs pour diriger le trafic vers une victime, ainsi que les attaques par épuisement des ressources, qui submergent les services DNS de requêtes excessives. Les résolveurs ouverts peuvent exposer l'infrastructure à des abus lorsque la récursivité est accessible à des clients non autorisés. 

Quelle est la différence entre l'usurpation DNS et le détournement DNS ?

L'usurpation DNS consiste à fournir de fausses réponses DNS, tandis que l'empoisonnement de cache se produit lorsqu'un résolveur accepte et stocke une réponse falsifiée. Le détournement DNS consiste à prendre le contrôle des paramètres DNS, des enregistrements ou des processus de résolution afin de rediriger le trafic. Ces deux techniques peuvent rediriger les utilisateurs vers des destinations malveillantes, mais la méthode utilisée par l'attaquant et le point de contrôle affecté diffèrent.

Le protocole DNSSEC peut-il empêcher toutes les attaques DNS ?

Non. Le protocole DNSSEC assure l'authentification cryptographique et l'intégrité des données DNS, ce qui aide les résolveurs à valider les réponses et à détecter les réponses falsifiées. Il n'empêche toutefois pas toutes les attaques, notamment les attaques par déni de service distribué (DDoS), le tunneling DNS ou les modifications non autorisées effectuées via des comptes de registraires compromis. Le protocole DNSSEC doit être correctement déployé et validé pour offrir la protection escomptée. 

En conclusion

Les attaques DNS peuvent compromettre l'acheminement du trafic, exposer des informations sensibles et perturber les services dont dépendent les clients. Connaître les différentes techniques d'attaque aide les équipes de sécurité à enquêter sur les activités suspectes et à mettre en place les mesures de contrôle appropriées. Commencez dès aujourd'hui par vérifier la configuration de vos domaines, vos contrôles d'accès et l'activité DNS. 

Découvrez les changements qui affectent votre infrastructure DNS

Surveillez l'état du DNS, détectez les modifications inattendues des enregistrements et identifiez les problèmes de configuration avant qu'ils ne se transforment en problèmes de sécurité plus graves. PowerDMARC vous aide à assurer la sécurité de vos domaines grâce à des contrôles et une surveillance automatisés du DNS.