Les avantages des solutions de surveillance des Dns pour la sécurité du réseau

Les équipes de sécurité du réseau font face à une surface d'attaque toujours plus étendue où chaque requête DNS est un vecteur potentiel de compromis. Le Domain Name System (DNS) traduit les noms de domaine lisibles par l'homme en adresses IP de la machine, ce qui le rend fondamental pour la communication Internet. Cependant, son ubiquité et sa conception basée sur la confiance en font également un outil favori pour les attaquants.

Comprendre la surveillance DNS

Contrairement aux pare-feu traditionnels qui se concentrent sur les adresses IP et les ports, la surveillance DNS examine la couche de requête elle-même. Une solution typique recueille des métadonnées telles que l'IP source, le domaine interrogé, le code de réponse et les informations de timing.

La surveillance DNS peut être déployée comme un appareil autonome, un agent logiciel sur récurseurs récursifs, ou comme un service basé sur le cloud qui traite les journaux à partir de l'infrastructure existante. Les données générées sont souvent introduites dans les systèmes d'information et de gestion des événements de sécurité (SIEM) ou utilisées pour faire appliquer la politique au bord du réseau.

Détection précoce de menaces

L'un des avantages les plus cités de la surveillance DNS est sa capacité à détecter les menaces au début de la chaîne de destruction. De nombreuses attaques comptent sur DNS pour résoudre les domaines de commande et de contrôle (C2), livrer des charges utiles ou communiquer avec des hôtes infectés.

Détection d'anomalies en temps réel

Lorsque le client commence soudainement à interroger un domaine connu pour héberger des kits d'exploitation ou des callbacks, le système génère une alerte. Par exemple, un poste de travail qui ne contacte jamais des domaines étrangers résolvant soudainement une adresse .ru ou .tk peut indiquer un trojan phoning home. La détection en temps réel permet aux équipes de sécurité d'isoler l'hôte et d'enquêter avant que l'attaquant n'atteigne le mouvement latéral.

Selon un rapport de l'Institut SANS, plus de 90% des logiciels malveillants utilisent le DNS pendant une certaine phase d'infection. La surveillance de ce trafic fournit donc un indicateur de compromis à faible bruit et à signal élevé. Des études de la Cyber Threat Alliance montrent en outre que la détection basée sur le DNS peut réduire le temps moyen de détection (MTTD) de semaines à minutes lorsqu'elle est intégrée avec des flux de réponse automatisés.

Bloquer les domaines malicieux

De nombreux outils de surveillance DNS s'intègrent à des plateformes de renseignement de menace qui tiennent des listes de domaines malveillants. Ces flux sont mis à jour en temps quasi réel à partir de sources telles que les filets de miel open-source, la recherche de menaces commerciales et les alertes gouvernementales. Lorsqu'un utilisateur ou un appareil tente de résoudre un mauvais domaine connu, le résolveur DNS retourne une page de bloc ou une IP de trou de puits, empêchant toute connexion.

Meilleure pratique: Combiner le blocage automatique avec une politique qui permet aux équipes de sécurité de sélectionner les domaines légitimes qui peuvent être mal identifiés. Utilisez une approche en couches où le blocage DNS est un élément en plus de la détection et de la réponse des paramètres.

Prévention de l'exfiltration des données

L'exfiltration de données via le tunnel DNS est une technique furtive qui contourne les règles de pare-feu typiques. Les attaquants codent les données volées (comme les numéros de carte de crédit, la propriété intellectuelle ou les identifiants) dans les requêtes DNS qui sont envoyées à un résolveur rogue qu'ils contrôlent.

Détecter les motifs inhabituels de requêtes

Les requêtes normales sont courtes, suivent un schéma de recherche répétée pour le même domaine et utilisent des structures sous-domaines prévisibles. Les requêtes d'exfiltration, par contre, contiennent souvent de longues chaînes aléatoires et présentent un taux de requête élevé sans aucun hit cache. Une pointe soudaine dans les réponses NXDOMAIN (domaine non existant) peut également indiquer une erreur de configuration ou une probation d'attaquant pour un paramètre tunnel. En fixant des seuils pour ces mesures, les équipes de sécurité peuvent automatiquement alerter les tentatives de tunnel.

Par exemple, le fournisseur de sécurité Infoblox a signalé un cas où une société d'énergie a détecté des tunnels DNS seulement après avoir déployé une surveillance, qui avait perdu des données techniques sensibles pendant des mois. Avec une surveillance DNS appropriée, l'exfiltration a été arrêtée en quelques heures. Le National Institute of Standards and Technology (NIST) des États-Unis recommande également l'inspection du trafic DNS dans le cadre de sa prévention des pertes de données dans NIST SP 800-53.

Blocage des tunnels au Resolver

Par exemple, un résolveur peut être configuré pour permettre uniquement des domaines qui correspondent à des modèles sous-domaines valides (comme les enregistrements standard A ou AAAA) et rejeter des requêtes avec des noms exceptionnellement longs. Bien que cela puisse briser certaines applications légitimes qui utilisent DNS pour la découverte (par exemple, certains services cloud), l'échange est acceptable dans des environnements de haute sécurité.

Visibilité et contrôle améliorés

Au-delà de la détection et de la prévention des menaces, le DNS assure une mine de renseignements opérationnels qui aident les équipes de TI et de sécurité à mieux comprendre leur réseau.

Analyse du comportement de l'utilisateur et du périphérique

Chaque requête DNS raconte une histoire. En regroupant les journaux au fil du temps, les organisations peuvent cartographier les domaines auxquels les utilisateurs, les appareils ou les départements accèdent. Cette visibilité aide à identifier les logiciels d'information souterraine (services cloud non autorisés), les applications mal configurées qui provoquent des recherches DNS excessives et les violations potentielles de la politique, comme la diffusion en continu de vidéos au travail. Par exemple, une augmentation soudaine des requêtes vers un domaine de partage de fichiers d'une équipe financière peut indiquer une fuite de données ou simplement un dépassement des restrictions par les employés.

Segmentation des réseaux et application des politiques

Les administrateurs peuvent créer des règles telles que : -Block tous les périphériques IoT de résoudre tout domaine en dehors des serveurs de mise à jour approuvés. -Offre uniquement aux ordinateurs portables gérés par l'entreprise d'accéder à des applications internes sensibles via un horizon partagé DNS. -Ce contrôle granulaire renforce la segmentation du réseau même lorsque les sous-réseaux sont plats ou les VLAN sont mal configurés. De plus, les journaux DNS fournissent une piste d'audit pour les audits de conformité, aidant à satisfaire aux exigences de règlements comme PCI DSS, HIPAA et GDR.

Analyse médico-légale et réponse aux incidents

Lorsqu'un incident de sécurité survient, les registres DNS sont une mine d'or pour les enquêteurs légistes. Ils révèlent la chronologie complète de la communication C2, le mouvement latéral et l'exfiltration possible de données. En rejouant les requêtes DNS d'un hôte compromis, les analystes peuvent identifier tous les domaines contactés avant et après l'intrusion. Cela aide à déterminer la portée de la brèche, les outils utilisés, et si des données ont été transmises.

Réduction de la surface d'attaque et du temps de puits

Le temps de repos, la période entre le compromis initial et la détection, est une mesure critique de la cybersécurité. Plus les attaquants restent indétectables, plus ils peuvent endommager. La surveillance DNS réduit considérablement le temps de séjour en fournissant un signal d'alerte rapide. Même si l'accès initial est obtenu par un courriel d'hameçonnage ou un téléchargement par lecteur, le malware doit toujours résoudre un domaine à appeler à la maison. Si ce domaine est signalé par des renseignements de menace ou s'écarte du trafic normal, le système de surveillance DNS alertera presque immédiatement.

De plus, le blocage de domaines malveillants au niveau DNS empêche l'attaquant d'établir un canal C2 fiable. Même si l'hôte est compromis, l'attaque ne peut pas progresser au-delà de la base initiale si elle ne peut pas communiquer externement.

Conformité et avantages réglementaires

La Loi sur la transférabilité et la responsabilité en matière d'assurance-santé (LISPA) exige que les organisations mettent en oeuvre des mesures de protection des renseignements médicaux protégés électroniques, qui comprennent la visibilité dans les communications de réseau. Le Règlement général sur la protection des données (RGPD) met l'accent sur la protection des données par la conception et le défaut de détection rapide d'une infraction peut entraîner des amendes importantes. La surveillance DNS offre une façon efficace et peu coûteuse de satisfaire à ces exigences de l'enregistrement et de la détection.

Pour les organismes fédéraux, l'initiative de Connexions Internet fiables (TIC) et la Directive opérationnelle contraignante (DBO) 18-01 du ministère de la Sécurité intérieure exigent des contrôles de sécurité du DNS. Ces directives exigent que les organismes utilisent un résolveur DNS centralisé doté de capacités de blocage des menaces.

Principaux facteurs et défis potentiels

Bien que la surveillance DNS offre une valeur immense, elle n'est pas sans défis.Les organisations doivent tenir compte des implications en matière de confidentialité : la surveillance du trafic DNS signifie l'enregistrement de chaque domaine que chaque utilisateur visite, ce qui peut soulever des préoccupations en matière de confidentialité des employés. Il est important d'établir des politiques claires, de limiter la conservation des journaux à ce qui est nécessaire et d'anonymiser les IP lorsque cela est possible. En outre, la montée en puissance du DNS chiffré (DNS sur HTTPS et DNS sur TLS) peut contourner la surveillance DNS traditionnelle si le résolveur est externe.

Les faux positifs sont un autre défi. Chaque requête anormale n'est pas malveillante; par exemple, un réseau de livraison de contenu légitime (CDN) peut générer de nombreux sous-domaines. Les entreprises comme Akamai utilisent des sous-domaines aléatoires pour l'équilibrage de la charge, qui peuvent déclencher des alertes. Il est essentiel de définir les lignes de base et de tenir une liste blanche à jour.

Bien que des outils open-source comme dnsmonitor existent, des solutions d'entreprise qui traitent des millions de requêtes par seconde et s'intègrent aux SIEM peuvent être coûteuses. Les organisations devraient évaluer le coût total de la propriété, y compris le stockage, le calcul et les heures de personnel pour le réglage et le triage d'alerte.

Conclusion

La surveillance DNS est un contrôle de sécurité fondamental qui permet de détecter rapidement les menaces, d'empêcher l'exfiltration de données, de bloquer les domaines malveillants et de fournir une visibilité inégalée dans l'activité du réseau. En mettant en œuvre une solution de surveillance DNS, les organisations peuvent réduire considérablement le temps de séjour, améliorer la réponse aux incidents et satisfaire aux exigences réglementaires.

Références externes