ADIDNS (Active Directory Integrated DNS)

Définition

ADIDNS (Active Directory Integrated DNS) est le mode d'intégration du service DNS dans lequel les zones de résolution de noms sont stockées directement sous forme d'objets au sein de la base d'annuaire Active Directory, plutôt que dans des fichiers de zone texte classiques, permettant une réplication automatique et multi-maître des enregistrements DNS entre l'ensemble des contrôleurs de domaine hébergeant le rôle DNS. Ce mode de fonctionnement, activé par défaut lors de la promotion d'un contrôleur de domaine avec le rôle DNS, offre une résilience accrue et une convergence automatique via la réplication AD, mais introduit également un vecteur d'attaque spécifique : par configuration par défaut historique, tout utilisateur authentifié du domaine dispose du droit de créer de nouveaux enregistrements DNS dans la zone intégrée, un attaquant pouvant exploiter cette permission pour créer un enregistrement pointant vers sa propre machine et usurper ainsi un nom de service légitime, technique connue sous le nom d'attaque DNS spoofing via ADIDNS ou de wildcard record injection. Des chercheurs ont également démontré la possibilité de créer des enregistrements wildcard interceptant l'ensemble du trafic de résolution de la zone. La restriction du droit de création d'enregistrements DNS aux seuls comptes d'administration légitimes, via les ACL de la zone intégrée, constitue une mesure de durcissement recommandée dans les audits de sécurité Active Directory.