DNS Zone

Définition

Une DNS Zone intégrée à Active Directory désigne une portion de l'espace de noms DNS dont les enregistrements sont stockés directement dans la base de données de l'annuaire plutôt que dans des fichiers de zone traditionnels, bénéficiant ainsi de la réplication multi-maîtres native d'Active Directory entre tous les contrôleurs de domaine hébergeant le rôle DNS. Ce modèle permet des mises à jour dynamiques sécurisées : seuls les ordinateurs authentifiés du domaine peuvent modifier leurs propres enregistrements DNS (fonctionnalité Secure Dynamic Update), réduisant le risque d'empoisonnement DNS par un hôte non authentifié comparé aux mises à jour dynamiques non sécurisées. L'intégration à l'annuaire permet également un contrôle d'accès granulaire via des ACL appliquées directement sur les objets de zone et d'enregistrement, visibles et modifiables comme n'importe quel autre objet AD. Cette caractéristique a une conséquence offensive documentée : un attaquant disposant du droit d'écriture sur un enregistrement DNS, ou membre du groupe DnsAdmins historiquement doté de privilèges excessifs pouvant mener à une exécution de code sur le serveur DNS via le chargement de DLL, peut manipuler la résolution de noms pour rediriger du trafic ou usurper des services. La bonne pratique de durcissement consiste à restreindre strictement l'appartenance au groupe DnsAdmins et à auditer régulièrement les permissions déléguées sur les zones et enregistrements sensibles du domaine.