En bref

  • Le NIST publie le SP 800-81 Revision 3, première mise à jour de son guide de sécurité DNS depuis 2013.
  • Le DNS passe du statut de simple infrastructure réseau à celui de pilier actif de la stratégie de cybersécurité.
  • Nouvelles recommandations sur le DNS protecteur (PDNS), le DNS chiffré (DoH, DoT) et l'intégration des logs DNS dans les SIEM.

Ce qui s'est passé

Le National Institute of Standards and Technology (NIST) a publié le 21 mars 2026 la révision 3 du Special Publication 800-81, intitulée « Secure Domain Name System (DNS) Deployment Guide ». Cette mise à jour est la première depuis 2013, soit douze ans d'écart pendant lesquels le paysage des menaces et les usages du DNS ont radicalement évolué.

Le document couvre trois axes principaux : l'utilisation du DNS comme contrôle de sécurité actif, la sécurisation du protocole DNS lui-même, et la protection des serveurs et infrastructures qui font tourner les services DNS. Le changement de philosophie est marquant : là où la version 2013 traitait le DNS comme une simple « plomberie réseau », la révision 3 le positionne comme une couche d'enforcement de sécurité devant bloquer les menaces, alimenter les SIEM et être auditée au même titre que les règles de pare-feu.

Parmi les évolutions majeures, le NIST endosse officiellement le DNS protecteur (Protective DNS ou PDNS) comme contrôle de sécurité recommandé pour les entreprises. Le PDNS inspecte les requêtes DNS en temps réel et bloque la résolution de domaines associés aux malwares, au phishing, aux infrastructures de commande et contrôle et à l'exfiltration de données. Les protocoles DNS chiffrés (DoT, DoH, DoQ) font l'objet d'une couverture détaillée pour la première fois, avec des mises en garde sur les applications qui contournent les contrôles DNS d'entreprise.

Pourquoi c'est important

Le DNS est sollicité par quasiment chaque interaction réseau, ce qui en fait un point d'observation et de contrôle stratégique. De nombreuses attaques modernes, du phishing au ransomware en passant par les communications C2, dépendent du DNS à un moment ou un autre de leur chaîne d'exécution. Positionner le DNS comme un capteur de sécurité de premier ordre permet de détecter et bloquer des menaces avant qu'elles n'atteignent les endpoints.

Le guide met également à jour les recommandations cryptographiques pour DNSSEC, privilégiant désormais ECDSA et Ed25519 avec des fenêtres de validité de signature raccourcies à cinq à sept jours. Les enregistrements CNAME orphelins (dangling CNAMEs) et les délégations invalides sont désormais explicitement identifiés comme des risques de niveau entreprise, une reconnaissance attendue par la communauté sécurité depuis plusieurs années.

Ce qu'il faut retenir

  • Évaluer le déploiement d'un service PDNS (Protective DNS) si ce n'est pas déjà fait, conformément aux nouvelles recommandations du NIST.
  • Intégrer les logs DNS comme source de télémétrie dans le SIEM et les workflows de réponse à incident.
  • Auditer les zones DNS pour identifier les enregistrements CNAME orphelins et les délégations invalides.

Qu'est-ce que le DNS protecteur (PDNS) recommandé par le NIST ?

Le Protective DNS est un service de sécurité qui analyse les requêtes DNS en temps réel et bloque automatiquement l'accès aux domaines malveillants connus. Il agit comme un filtre entre l'utilisateur et Internet, empêchant les connexions vers des sites de phishing, des serveurs de commande et contrôle de malwares ou des domaines utilisés pour l'exfiltration de données, sans nécessiter d'agent sur le poste de travail.

Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.

Prendre contact