DNS Filtering

Définition

Le filtrage DNS (DNS Filtering) est une technique de sécurité qui contrôle l'accès aux ressources Internet en interceptant et bloquant les requêtes DNS vers des domaines malveillants, inappropriés ou non autorisés. Plutôt que de bloquer les adresses IP (qui changent fréquemment), le filtrage DNS agit au niveau des noms de domaine, une couche d'abstraction stable et efficace. Le mécanisme est simple : lorsqu'un client tente de résoudre un domaine (ex: malware-c2.evil.com), le resolver DNS filtrant vérifie le domaine contre des listes de réputation. Si le domaine est catégorisé comme malveillant (C2, phishing, malware distribution) ou interdit par la politique d'entreprise, le resolver retourne soit une réponse NXDOMAIN (domaine non existant), soit une adresse IP de redirection vers une page de blocage. Les cas d'usage du filtrage DNS en entreprise incluent : la protection contre les malwares et ransomwares (blocage des domaines de commande et contrôle C2, des sites de téléchargement de payloads), la prévention du phishing (blocage des domaines imitant des marques légitimes), le filtrage de contenu (productivité, conformité — bloquer les réseaux sociaux, les jeux en ligne, le contenu adulte), et la protection DNS de bout en bout (DNS-over-HTTPS/TLS pour empêcher l'espionnage des requêtes). Les solutions populaires de DNS filtering incluent les plateformes cloud comme Cisco Umbrella (ex-OpenDNS), Cloudflare Gateway, Zscaler DNS Security, et Quad9 (gratuit, axé protection contre les malwares). Ces solutions maintiennent des bases de données de réputation DNS mises à jour en temps réel, catégorisant des milliards de domaines. Une limitation importante est le DNS over HTTPS (DoH) et DNS over TLS (DoT) : lorsque les endpoints utilisent des resolvers DoH directs (comme 1.1.1.1 en DoH ou 8.8.8.8 en DoT), ils contournent le filtrage DNS entreprise. Les organisations doivent bloquer les DoH/DoT non autorisés et forcer l'usage du resolver filtrant via des règles NGFW et des politiques MDM. Le DNS Sinkhole est une technique complémentaire : un resolver DNS interne redirige les domaines malveillants connus vers une adresse IP interne qui enregistre les tentatives de connexion, permettant d'identifier les machines infectées qui tentent de contacter des C2.