Chaque fois qu’un internaute tape une adresse, qu’un serveur de messagerie envoie un courriel ou qu’une application appelle une API, une requête DNS part en coulisses. Ce service discret est donc un point de passage obligé, et c’est précisément ce qui en fait une cible de choix. Comprendre les grandes familles d’attaques permet de savoir quoi surveiller et quelles protections activer, que vous gériez un site vitrine, une boutique en ligne ou le réseau d’une entreprise.
Comment fonctionne le DNS et pourquoi est-il vulnérable ?
La résolution d’un nom fait intervenir deux types de serveurs. Le résolveur (celui de votre fournisseur d’accès, de votre entreprise ou un résolveur public) reçoit la question du poste et la transmet, si besoin, aux serveurs faisant autorité pour le domaine, qui détiennent la « zone » avec ses enregistrements (A, AAAA, MX, CNAME…). Le résolveur garde ensuite la réponse en cache pendant une durée fixée par le TTL.
Le protocole a été conçu à une époque où la confiance entre machines allait de soi : dans sa forme d’origine, rien ne permet au résolveur de vérifier qu’une réponse provient bien du serveur légitime. Cette faiblesse, combinée au rôle central du service, explique la variété des attaques.
Quelles sont les principales attaques contre le DNS ?
| Attaque | Mécanisme | Conséquence | Parade principale |
|---|---|---|---|
| Détournement (hijacking) | Modification des serveurs DNS d’un poste ou d’un routeur, ou des enregistrements d’une zone | Redirection vers un faux site | Protection des postes, sécurisation des accès d’administration et du compte registraire |
| Déni de service | Envoi massif de requêtes pour saturer les serveurs | Domaine injoignable | Redondance, répartition sur plusieurs réseaux, filtrage |
| Empoisonnement de cache | Injection de fausses réponses dans un résolveur | Redirection de tous les utilisateurs du résolveur | DNSSEC, résolveurs à jour |
| Amplification | Requêtes à adresse source usurpée vers des résolveurs ouverts | Saturation d’une victime tierce | Fermer les résolveurs ouverts, limiter le débit des réponses |
| Tunneling DNS | Données cachées dans des requêtes DNS | Exfiltration discrète, communication d’un malware | Analyse du trafic DNS sortant |
Le détournement DNS
Le détournement peut viser le poste de l’utilisateur : un logiciel malveillant ou une box compromise remplace les serveurs DNS configurés par ceux de l’attaquant, qui renvoie de fausses adresses. Il peut aussi viser la zone elle-même, lorsqu’un attaquant obtient l’accès au compte chez le registraire ou à l’interface d’hébergement DNS et modifie les enregistrements. Dans les deux cas, le visiteur croit arriver sur le bon site et tombe sur une copie destinée au vol d’identifiants, à la diffusion de malwares ou à l’affichage d’un contenu frauduleux. Le risque est technique, mais aussi réputationnel et juridique pour le propriétaire du domaine. Des outils en ligne comme https://nstools.fr/ permettent de vérifier ce que renvoient réellement les serveurs de noms d’un domaine.
Les attaques par déni de service
Elles cherchent à saturer les serveurs pour qu’ils ne répondent plus aux requêtes légitimes. Parmi les variantes : l’inondation de requêtes vers des noms inexistants (attaque NXDOMAIN), l’interrogation de sous-domaines aléatoires qui oblige les serveurs à chercher des réponses introuvables, ou le « domaine fantôme », où les résolveurs attendent des serveurs volontairement lents. Même si votre serveur web fonctionne, les visiteurs ne peuvent plus le joindre, puisque le nom ne se résout plus. La messagerie, le VPN et les services SaaS sont touchés en même temps.
L’empoisonnement de cache
Un résolveur qui accepte une réponse forgée la conserve en cache pendant toute la durée du TTL. Tous ses utilisateurs sont alors redirigés, et l’effet peut persister après la fin de l’attaque, tant que l’entrée n’a pas expiré. C’est l’une des attaques les plus insidieuses, car rien ne distingue la fausse réponse d’une vraie sans mécanisme de vérification.
Comment DNSSEC protège-t-il un domaine ?
DNSSEC ajoute des signatures cryptographiques aux enregistrements DNS. Un résolveur qui valide DNSSEC peut vérifier que la réponse provient bien de la zone légitime et qu’elle n’a pas été modifiée en route. Il protège ainsi contre l’empoisonnement de cache et contre la falsification des réponses. Ses spécifications de référence sont les RFC 4033, 4034 et 4035.
Deux limites sont à connaître. DNSSEC ne chiffre pas les requêtes : il garantit l’authenticité et l’intégrité, pas la confidentialité. Et il ne protège que si la chaîne est complète : zone signée chez l’hébergeur DNS, enregistrement DS publié chez le registraire, et résolveur qui effectue la validation.
Quelles bonnes pratiques appliquer pour sécuriser son DNS ?
- Verrouiller le compte registraire : mot de passe unique, authentification à deux facteurs, et verrou de transfert ou de modification lorsque le registraire le propose.
- Activer DNSSEC sur les domaines critiques et vérifier régulièrement la validité des signatures.
- Prévoir au moins deux serveurs faisant autorité sur des réseaux distincts, voire chez deux prestataires différents.
- Ne pas laisser de résolveur ouvert à tout Internet : un résolveur interne ne doit répondre qu’aux machines de l’organisation.
- Maintenir à jour les logiciels DNS, les routeurs et les postes de travail.
- Surveiller les zones : alertes sur toute modification d’enregistrement, contrôle des volumes de requêtes et des TTL anormaux.
- Auditer périodiquement la configuration : délégations, enregistrements obsolètes pointant vers des services abandonnés, cohérence entre serveurs.
Les enregistrements obsolètes sont souvent négligés : un sous-domaine qui pointe encore vers un service cloud supprimé peut être repris par un tiers. Cette vigilance vaut aussi pour les architectures réparties, que nous abordons dans l’article sur la sécurité du multicloud en datacenter. Pour une boutique en ligne, une panne DNS se traduit directement en ventes perdues, un point à intégrer dès la réflexion sur la création d’un site e-commerce. Enfin, si une attaque a conduit à une perte de fichiers, consultez notre méthode pour récupérer des données perdues.
Quels signes doivent alerter ?
- Un site qui redirige vers une page inhabituelle ou une page de connexion inconnue.
- Des alertes de certificat dans le navigateur sur un site habituellement sans problème.
- Des lenteurs ou des échecs de résolution sans panne visible du serveur web.
- Des enregistrements modifiés sans intervention connue de votre équipe.
- Des courriels qui n’arrivent plus, signe possible d’un enregistrement MX altéré.
Face à ces signes, vérifiez les réglages DNS des postes et des box, l’historique des modifications de la zone et les accès au compte registraire, puis changez les mots de passe concernés.
À lire aussi
Questions fréquentes
Qu’est-ce qu’une attaque DNS ?
C’est une attaque qui vise le système de noms de domaine pour rediriger les internautes, rendre un domaine injoignable ou détourner le trafic. Elle peut cibler les postes, les résolveurs, les serveurs faisant autorité ou le compte chez le registraire.
DNSSEC chiffre-t-il les requêtes DNS ?
Non. DNSSEC signe les enregistrements pour en garantir l’authenticité et l’intégrité, mais les requêtes et réponses restent lisibles. La confidentialité relève d’autres protocoles, comme le DNS sur TLS ou sur HTTPS.
Comment savoir si mon DNS a été modifié ?
Comparez les réponses obtenues pour votre domaine avec la configuration attendue, à l’aide d’outils de vérification en ligne ou de commandes comme dig ou nslookup. Consultez aussi l’historique des modifications chez votre hébergeur DNS et votre registraire.
Qu’est-ce qu’un résolveur DNS ouvert ?
C’est un résolveur qui accepte les requêtes de n’importe quelle adresse sur Internet. Mal protégé, il peut être utilisé pour des attaques par amplification contre des tiers. Un résolveur d’entreprise doit être limité aux machines internes.
Un petit site est-il concerné par les attaques DNS ?
Oui, car le compte registraire d’un petit site est souvent moins protégé. Une authentification à deux facteurs, un verrou de domaine et l’activation de DNSSEC réduisent nettement le risque de détournement.