NIST renouvelle son guide de sécurité DNS après douze ans

Le National Institute of Standards and Technology (NIST) a publie le 21 mars 2026 la revision 3 du Special Publication 800-81, Secure Domain Name System (DNS) Deployment Guide, premiere mise a jour de ce document depuis 2013, soit douze ans d'ecart. Le guide couvre trois axes principaux : l'utilisation du DNS comme controle de securite actif, la securisation du protocole DNS lui-meme, et la protection des serveurs et infrastructures qui font fonctionner les services DNS. Le changement de philosophie par rapport a la version 2013 est marquant : la ou le DNS y etait traite comme une simple plomberie reseau, la revision 3 le positionne comme une couche d'enforcement de securite a part entiere, devant bloquer les menaces, alimenter les SIEM et etre auditee au meme titre que les regles de pare-feu. Pour les RSSI, ce repositionnement invite a revoir la gouvernance du DNS au sein de l'organisation, en l'integrant explicitement dans les architectures de detection et de filtrage plutot que de le considerer comme une simple infrastructure de resolution de noms.

Ce qui s'est passé

Le National Institute of Standards and Technology (NIST) a publié le 21 mars 2026 la révision 3 du Special Publication 800-81, intitulée « Secure Domain Name System (DNS) Deployment Guide ». Cette mise à jour est la première depuis 2013, soit douze ans d'écart pendant lesquels le paysage des menaces et les usages du DNS ont radicalement évolué.

Le document couvre trois axes principaux : l'utilisation du DNS comme contrôle de sécurité actif, la sécurisation du protocole DNS lui-même, et la protection des serveurs et infrastructures qui font tourner les services DNS. Le changement de philosophie est marquant : là où la version 2013 traitait le DNS comme une simple « plomberie réseau », la révision 3 le positionne comme une couche d'enforcement de sécurité devant bloquer les menaces, alimenter les SIEM et être auditée au même titre que les règles de pare-feu.

Parmi les évolutions majeures, le NIST endosse officiellement le DNS protecteur (Protective DNS ou PDNS) comme contrôle de sécurité recommandé pour les entreprises. Le PDNS inspecte les requêtes DNS en temps réel et bloque la résolution de domaines associés aux malwares, au phishing, aux infrastructures de commande et contrôle et à l'exfiltration de données. Les protocoles DNS chiffrés (DoT, DoH, DoQ) font l'objet d'une couverture détaillée pour la première fois, avec des mises en garde sur les applications qui contournent les contrôles DNS d'entreprise.

Pourquoi c'est important

Le DNS est sollicité par quasiment chaque interaction réseau, ce qui en fait un point d'observation et de contrôle stratégique. De nombreuses attaques modernes, du phishing au ransomware en passant par les communications C2, dépendent du DNS à un moment ou un autre de leur chaîne d'exécution. Positionner le DNS comme un capteur de sécurité de premier ordre permet de détecter et bloquer des menaces avant qu'elles n'atteignent les endpoints.

Le guide met également à jour les recommandations cryptographiques pour DNSSEC, privilégiant désormais ECDSA et Ed25519 avec des fenêtres de validité de signature raccourcies à cinq à sept jours. Les enregistrements CNAME orphelins (dangling CNAMEs) et les délégations invalides sont désormais explicitement identifiés comme des risques de niveau entreprise, une reconnaissance attendue par la communauté sécurité depuis plusieurs années.

Ce qu'il faut retenir

• Évaluer le déploiement d'un service PDNS (Protective DNS) si ce n'est pas déjà fait, conformément aux nouvelles recommandations du NIST.
• Intégrer les logs DNS comme source de télémétrie dans le SIEM et les workflows de réponse à incident.
• Auditer les zones DNS pour identifier les enregistrements CNAME orphelins et les délégations invalides.