Fast flux DNS

Définition

Le fast flux DNS désigne une technique d'infrastructure malveillante consistant à associer un même nom de domaine à un grand nombre d'adresses IP différentes, changées à très haute fréquence, souvent toutes les quelques minutes, en configurant une durée de vie très courte sur les enregistrements DNS correspondants, de sorte que la résolution du domaine pointe à chaque interrogation vers une adresse IP différente parmi un vaste ensemble de machines compromises servant de relais, généralement organisées en réseau de machines zombies. Cette technique vise à rendre extrêmement difficile le blocage de l'infrastructure malveillante par simple filtrage d'adresse IP, puisque bloquer une adresse donnée n'a qu'un effet marginal et temporaire tant que le domaine continue de pointer vers de nouvelles adresses au sein du réseau de relais compromis, tout en masquant l'emplacement réel du serveur de commande et contrôle véritable situé derrière ces relais changeants. Une variante appelée double fast flux applique le même principe de rotation rapide non seulement aux adresses IP du domaine mais également aux serveurs de noms faisant autorité sur ce domaine, ajoutant une couche supplémentaire de résilience contre le démantèlement de l'infrastructure. Pour les équipes défensives, la détection repose sur l'identification de domaines présentant une rotation anormalement rapide et un nombre inhabituellement élevé d'adresses IP associées sur une courte période, un motif rarement observé pour des services légitimes.