Depuis plus de deux décennies, la cybersécurité a évolué par vagues distinctes d’innovation. Les investissements en sécurité sont passés des pare-feu périmétriques à la protection des points de terminaison, de la gestion des identités et des accès à la sécurité native au nuage. Chaque transition a été nécessaire, poussée par la transformation constante des TI en entreprise et par un paysage de menaces de plus en plus sophistiqué. Pourtant, tout au long de cette évolution, un aspect fondamental de chaque interaction numérique est demeuré étonnamment sous-protégé : le système de noms de domaine (DNS).

Chaque fois qu’un utilisateur ouvre un site web, qu’une application se connecte à un service infonuagique ou qu’un appareil communique avec une ressource externe, la toute première action est une question simple : Où puis-je trouver ce nom ? Cette question est résolue par le DNS, ce qui en fait le point de départ de presque chaque transaction commerciale légitime — et de presque chaque cyberattaque. L’ironie est flagrante. Les organisations dépensent des millions pour sécuriser la deuxième, la troisième et la quatrième étape d’une chaîne d’attaque, alors que la toute première étape passe souvent par une infrastructure qui n’a jamais été conçue avec la sécurité en tête.

DNS : Le protocole le plus fiable et le moins surveillé d’Internet

Lorsque le DNS a été créé au début des années 1980, sa mission était tout simplement d’offrir une résolution rapide et fiable des noms à travers un Internet en plein essor. La sécurité ne faisait pas partie de sa philosophie de conception initiale puisque l’Internet lui-même reposait sur la confiance. Cette hypothèse n’existe plus aujourd’hui. L’environnement d’entreprise d’aujourd’hui est beaucoup plus connecté que jamais. Une seule page web moderne peut générer plus de 200 requêtes DNS avant son chargement complet, tandis que l’ordinateur portable moyen d’un employé peut initier des milliers de requêtes DNS chaque jour. Toute application infonuagique, plateforme SaaS, outil de collaboration, appareil IdO ou application mobile dépend du DNS. Malgré cet énorme volume d’activités, le DNS demeure bien souvent invisible au sein des opérations de sécurité organisationnelles.

La plupart des contrôles de sécurité, y compris les pare-feu, les passerelles web sécurisées, la détection et réponse des points de terminaison (EDR) et les solutions de prévention contre la perte de données (DLP), font implicitement confiance au fait que le DNS a déjà accompli son travail de façon sécuritaire. Les attaquants comprennent parfaitement cette dépendance. Plutôt que d’essayer de compromettre le DNS, ils exploitent tout simplement cette confiance.

Pourquoi les modèles de détection traditionnels ne suffisent plus

Pendant des années, la cybersécurité a fonctionné selon un modèle relativement prévisible. Un domaine malveillant était repéré quelque part dans le monde, des fournisseurs de renseignement sur les menaces le cataloguaient, puis les vendeurs de sécurité distribuaient des listes de blocage à tous les autres. Les organisations qui consommaient ces flux bénéficiaient alors de l’intelligence collective. Or, ce modèle devient rapidement obsolète. L’IA a fondamentalement changé l’économie de la cybercriminalité. Les cybercriminels peuvent désormais générer automatiquement des milliers de domaines uniques, les armer pour quelques heures, mener leurs attaques puis les abandonner avant même que les systèmes de réputation traditionnels ne puissent les repérer.

Les recherches du secteur soulignent l’ampleur de ce changement. L’étude 2025 de DNSFilter a révélé qu’environ une requête DNS sur 174 est désormais malveillante, contre environ une sur mille il y a à peine un an. Plus inquiétant encore, Infoblox a rapporté que 95 % des domaines associés à des menaces n’ont été observés que dans un seul environnement client.

Cette statistique change tout.

Si un domaine malveillant n’est utilisé qu’une seule fois, toute défense se fondant uniquement sur des données historiques de réputation accuse déjà un retard sur l’attaque. Lorsque le domaine apparaît sur une liste de blocage, la campagne est déjà terminée. L’avenir de la sécurité DNS ne peut plus se baser exclusivement sur la mémoire des attaques passées : il faut anticiper les attaques de demain.

Le DNS est devenu une surface d’attaque de choix

Les adversaires modernes utilisent de plus en plus le DNS, car il est universellement autorisé, rarement inspecté en profondeur et essentiel au fonctionnement des entreprises. Le DNS permet de multiples techniques d’attaque à travers la chaîne de destruction cybernétique. Les attaquants enregistrent des domaines nouvellement créés ou des domaines ressemblant à des marques légitimes pour lancer des campagnes d’hameçonnage. Les logiciels malveillants utilisent des requêtes DNS, souvent via des enregistrements TXT, pour communiquer avec leur infrastructure de commande et contrôle tout en se camouflant dans le trafic réseau normal. De l’information sensible peut être exfiltrée via du tunnelage DNS, permettant à des données de quitter l’organisation dans des requêtes encodées une à la fois. Même des ressources infonuagiques abandonnées peuvent devenir des points d’entrée lorsque des enregistrements DNS oubliés continuent de pointer vers des services déclassés, créant ainsi des occasions de détournement de sous-domaines. Aucune de ces techniques ne déclenche nécessairement d’alerte immédiate des contrôles de sécurité traditionnels puisqu’elles exploitent l’infrastructure dont l’organisation dépend.

La couche manquante dans l’architecture de sécurité moderne

Il ne s’agit pas ici de critiquer les investissements actuels en sécurité. Les pare-feu, plateformes EDR, passerelles web sécurisées, sécurité du courriel, plateformes d’identité et solutions DLP jouent tous le rôle pour lequel ils ont été conçus. Le défi est d’ordre architectural. Les pare-feu inspectent le trafic réseau mais ne sont pas conçus pour analyser en profondeur le comportement de résolution DNS. Les solutions de détection des points de terminaison surveillent les processus et l’activité système, mais ne peuvent pas toujours détecter de la donnée cachée dans des tunnels DNS. De la même façon, les programmes DLP inspectent le trafic web, le courriel et les transferts de fichiers mais, pour de nombreuses organisations, le DNS n’est pas analysé comme un canal potentiel d’exfiltration. Il en résulte un manque de visibilité. Une organisation peut disposer de contrôles matures pour tous les principaux domaines de sécurité tout en permettant à des requêtes DNS malveillantes de passer sans validation. Si le DNS demeure hors de la stratégie de détection, la couverture de sécurité reste incomplète.

DNS protecteur : Faire de la sécurité une priorité dès le début

Le DNS protecteur (PDNS) transforme le DNS d’une infrastructure passive à un contrôle de sécurité actif. Plutôt que de simplement résoudre des noms de domaine, le DNS protecteur évalue continuellement chaque requête et chaque réponse DNS. Les destinations suspectes ou malveillantes peuvent être bloquées, redirigées ou déviées vers un puits avant qu’aucune connexion réseau ne soit établie. Fait important, les meilleures plateformes de DNS protecteur misent de plus en plus sur du renseignement prédictif et des analyses propulsées par l’IA pour repérer les infrastructures d’attaque avant même leur utilisation active. Plutôt qu’attendre qu’un domaine soit reconnu comme malveillant, elles évaluent des indicateurs comportementaux, des caractéristiques d’infrastructure, des motifs d’enregistrement et des relations suggérant une intention hostile. Cette approche cadre étroitement avec le mouvement plus large de l’industrie vers la cybersécurité préventive. Plutôt que de réagir après une compromission, les organisations cherchent à anticiper les gestes des attaquants, à bloquer l’accès à l’infrastructure malveillante et à perturber les attaques avant leur matérialisation.

Le DNS protecteur offre précisément cette capacité, intervenant au moment le plus précoce du cycle de vie d’une attaque. Il est toutefois important de reconnaître que le PDNS n’est pas conçu pour remplacer les contrôles de sécurité existants. Le trafic dirigé vers des adresses IP codées en dur sans résolution DNS peut contourner le DNS protecteur, ce qui en fait une seule couche au sein d’une stratégie de défense en profondeur. Sa plus grande valeur réside dans l’enrichissement des pare-feu, des plateformes SIEM et des opérations SOC avec une intelligence DNS fiable, renforçant ainsi l’ensemble de l’écosystème de sécurité.

La dynamique de l’industrie est évidente

La communauté de la cybersécurité reconnaît de plus en plus le DNS comme une couche stratégique de sécurité plutôt que comme une simple infrastructure réseau. Les conseils récents reflètent ce changement. La norme SP 800-81 Révision 3 du NIST positionne la sécurité DNS en fonction d’une architecture résiliente, de DNS protecteur et d’une visibilité opérationnelle accrue. La CISA exploitait déjà une capacité de DNS protecteur pour les agences fédérales américaines depuis 2022, alors que l’architecture Zéro Confiance de Microsoft préconise l’autorisation des communications sortantes uniquement après résolution réussie via des services DNS fiables. Collectivement, ces évolutions renforcent un principe simple : une organisation ne peut véritablement adopter une philosophie “jamais de confiance, toujours vérifier” sans inclure le DNS dans la vérification.

Bâtir une voie à suivre concrète

Heureusement, l’adoption du DNS protecteur ne nécessite pas une transformation complète de la sécurité. Les organisations peuvent d’abord réaliser une évaluation du DNS pour comprendre combien de domaines potentiellement malveillants sont en cours de résolution dans leur environnement. Ensuite, des déploiements hybrides combinant des résolveurs sur place et dans le nuage permettent d’assurer la résilience tout en maintenant une protection cohérente dans des environnements distribués. Le DNS chiffré doit être contrôlé pour veiller à ce que les points de terminaison utilisent toujours des résolveurs d’entreprise fiables, et non pour contourner les contrôles organisationnels. Enfin, une télémétrie DNS enrichie devrait s’intégrer aux opérations SOC quotidiennes afin de permettre aux analystes de détecter les comportements d’attaquants beaucoup plus tôt dans le cycle de vie de l’attaque.

Faire du DNS votre première ligne de défense

La cybersécurité a toujours été une course pour réduire l’avantage des attaquants. Pendant des années, les défenseurs se sont concentrés sur la détection des compromissions après l’établissement des connexions réseau, l’exécution des logiciels malveillants ou le début des transferts de données. Mais presque chacune de ces attaques commence par une simple requête DNS.

Cette première question, « Où puis-je trouver ce nom ? » est le tout premier signal observable accessible aux défenseurs. Les organisations qui y répondent par de l’intelligence plutôt que par des suppositions seront mieux placées pour prévenir les attaques, et non seulement y réagir.