Pendant plus de deux décennies, la cybersécurité a évolué à travers différentes vagues d'innovation. Les investissements en sécurité sont passés des pare-feux périmétriques à la protection des points de terminaison, de la gestion des identités et des accès à la sécurité native dans le cloud. Chaque transition a été nécessaire, imposée par l’évolution du secteur des TI en entreprise et un paysage des menaces de plus en plus sophistiqué. Pourtant, dans toute cette évolution, un élément fondamental de chaque interaction numérique est demeuré étonnamment sous-protégé : le système de noms de domaine (DNS).
Chaque fois qu’un utilisateur ouvre un site web, qu’une application se connecte à un service cloud ou qu’un appareil communique avec une ressource externe, la toute première action est une question simple : Où puis-je trouver ce nom ? C’est le DNS qui y répond, ce qui en fait le point de départ de presque toutes les transactions d’affaires légitimes et de presque toutes les cyberattaques. L’ironie est frappante. Les organisations consacrent des millions à sécuriser la deuxième, la troisième et la quatrième étape d’une chaîne d’attaque, alors que la toute première étape repose souvent sur une infrastructure qui, à l’origine, n’a jamais été conçue dans une optique de sécurité.
DNS : Le protocole le plus fiable et le moins surveillé de l’internet
Lorsque le DNS a été créé au début des années 1980, sa mission consistait simplement à offrir une résolution de noms rapide et fiable à travers un internet en pleine expansion. La sécurité ne faisait pas partie de sa philosophie initiale, car l’internet lui-même reposait sur la confiance. Cette présomption n’existe plus. Le milieu en entreprise d’aujourd’hui est infiniment plus connecté qu’auparavant. Une seule page web moderne peut générer plus de 200 recherches DNS avant de se charger complètement, alors que l’ordinateur portable d’un employé moyen peut initier des milliers de requêtes DNS chaque jour. Chaque application infonuagique, plateforme SaaS, outil de collaboration, appareil IdO et application mobile dépend du DNS. Malgré ce volume d’activités énorme, le DNS demeure souvent invisible au sein des opérations de sécurité des entreprises.
La plupart des contrôles de sécurité, dont les pare-feux, les passerelles web sécurisées, les solutions de détection et réponse sur les points de terminaison (EDR) et les solutions de prévention des pertes de données (DLP), partent du principe que le DNS a déjà rempli sa fonction de façon sécuritaire. Les attaquants comprennent parfaitement cette dépendance. Plutôt que d’essayer de contourner le DNS, ils exploitent tout simplement la confiance qui lui est accordée.
Pourquoi les modèles traditionnels de détection ne suffisent plus
Pendant des années, la cybersécurité a fonctionné selon un modèle relativement prévisible. Un domaine malveillant était identifié quelque part dans le monde, des fournisseurs d’intelligence sur les menaces l’inscrivaient dans des catalogues, et les fournisseurs de solutions de sécurité distribuaient des listes de blocage à tous les autres. Les organisations bénéficiant de ces flux profitaient de l’intelligence collective. Ce modèle devient rapidement obsolète. L’AI a fondamentalement changé l’équation économique de la cybercriminalité. Les acteurs malveillants peuvent désormais générer automatiquement des milliers de domaines uniques, les utiliser à des fins malveillantes durant quelques heures, exécuter des attaques, puis les abandonner avant même que les systèmes traditionnels de réputation ne les identifient.
Les études de l’industrie démontrent l’ampleur de ce changement. Les recherches 2025 de DNSFilter ont révélé qu’environ une requête DNS sur 174 est désormais malveillante, comparativement à une sur mille à peine un an plus tôt. Plus inquiétant encore, Infoblox a rapporté que 95 % des domaines liés à des menaces n’ont été observés que dans un seul environnement client.
Cette statistique change tout.
Si un domaine malveillant n’est utilisé qu’une seule fois, toute défense reposant uniquement sur l’historique de réputation est immédiatement dépassée par l’attaquant. Au moment où le domaine apparaît sur une liste de blocage, la campagne est déjà terminée. L’avenir de la sécurité DNS ne peut pas reposer exclusivement sur la mémoire des attaques d’hier ; il doit anticiper les attaques de demain.
Le DNS est devenu une surface d’attaque de choix
Les adversaires modernes utilisent de plus en plus le DNS, car il est universellement autorisé, rarement inspecté en profondeur et essentiel aux opérations d’affaires. Le DNS permet d’exécuter de multiples techniques d’attaque tout au long de la chaîne de cyberattaque. Les attaquants enregistrent des domaines récents ou ressemblant à des noms légitimes pour des campagnes d’hameçonnage qui imitent de près de vraies marques. Les logiciels malveillants utilisent les requêtes DNS, souvent au moyen d’enregistrements TXT, pour communiquer avec l’infrastructure de commande et de contrôle, tout en se fondant dans le trafic réseau normal. L’information sensible peut être exfiltrée par tunnellisation DNS, ce qui permet à des données de quitter l’organisation, une requête codée à la fois. Même les ressources infonuagiques abandonnées peuvent devenir des portes d’entrée lorsque des enregistrements DNS oubliés continuent de pointer vers des services désactivés, ouvrant la porte au détournement de sous-domaines. Aucune de ces techniques ne déclenche nécessairement d’alertes immédiates avec les contrôles de sécurité traditionnels, car elles exploitent l’infrastructure essentielle à toutes les organisations.
La couche manquante dans l’architecture de sécurité moderne
Il ne s’agit pas d’une critique vis-à-vis des investissements existants en sécurité. Les pare-feux, plateformes EDR, passerelles web sécurisées, sécurité des courriels, plateformes d’identité et solutions DLP remplissent toutes les fonctions pour lesquelles elles ont été conçues. Le défi est d’ordre architectural. Les pare-feux inspectent le trafic réseau mais ne sont pas conçus pour analyser en profondeur le comportement de la résolution DNS. Les solutions de détection sur les postes surveillent les processus et l’activité système, mais ne détectent pas toujours les données cachées dans les tunnels DNS. De la même manière, les programmes DLP inspectent le trafic web, les courriels et les transferts de fichiers, mais plusieurs organisations n’inspectent pas le DNS comme un canal potentiel d’exfiltration. Cela crée un angle mort. Une organisation peut disposer de contrôles matures pour chaque grand domaine de sécurité, et pourtant laisser passer sans détection des requêtes DNS malveillantes. Si le DNS reste exclu de la stratégie de détection de l’organisation, la couverture de sécurité demeure incomplète.
DNS protecteur : Déplacer la sécurité au tout premier instant
Le DNS protecteur (PDNS) transforme le rôle du DNS, qui passe d’infrastructure passive à contrôle de sécurité actif. Plutôt que de simplement résoudre des noms de domaines, le DNS protecteur évalue continuellement chaque requête et réponse DNS. Les destinations suspectes ou malveillantes peuvent être bloquées, redirigées ou réacheminées avant même qu’une connexion réseau ne soit établie. Il est important de souligner que les principales plateformes de DNS protecteur exploitent de plus en plus de l’intelligence prédictive et des analyses propulsées par l’AI pour identifier l’infrastructure des attaquants avant toute utilisation active. Plutôt que d’attendre qu’un domaine soit reconnu comme malveillant, elles analysent les indicateurs comportementaux, les caractéristiques d’infrastructure, les tendances d’enregistrement et les relations suggérant une intention malveillante. Cette approche cadre parfaitement avec la tendance globale du secteur vers une cybersécurité préventive. Plutôt que de réagir après une compromission, les organisations cherchent à anticiper le comportement des attaquants, à refuser l’accès à l’infrastructure malveillante et à perturber les attaques avant qu’elles ne se matérialisent.
Le DNS protecteur offre précisément cette capacité, intervenant au tout début du cycle d’une attaque. Il est cependant important de souligner que le PDNS n’a pas vocation à remplacer les contrôles de sécurité existants. Le trafic dirigé vers des adresses IP codées en dur sans résolution DNS peut contourner le DNS protecteur, ce qui en fait une couche parmi une stratégie globale de défense en profondeur. Sa plus grande valeur réside dans l’enrichissement des pare-feux, des plateformes SIEM et des opérations SOC avec une intelligence DNS fiable, ce qui renforce l’ensemble de l’écosystème de sécurité.
L’élan est réel dans l’industrie
La communauté de la cybersécurité reconnaît de plus en plus le DNS comme une couche stratégique de sécurité plutôt qu’une simple infrastructure réseau. Les lignes directrices récentes en témoignent. Le document SP 800-81 Révision 3 du NIST positionne la sécurité DNS autour d’une architecture résiliente, du DNS protecteur et d’une meilleure visibilité opérationnelle. Depuis 2022, la CISA exploite une capacité DNS protectrice pour les agences fédérales américaines, tandis que l’architecture Zero Trust de Microsoft insiste sur l’autorisation des communications sortantes seulement après une résolution réussie via des services DNS fiables. Ensemble, ces évolutions renforcent un principe simple : une organisation ne peut pas réellement adopter une philosophie « ne jamais faire confiance, toujours vérifier » tout en exemptant le DNS de la vérification.
Tracer un chemin réaliste vers l’avenir
Heureusement, l’adoption du DNS protecteur ne demande pas de transformer entièrement l’approche en sécurité. Les organisations peuvent débuter par une évaluation de sécurité DNS afin de comprendre combien de domaines potentiellement malveillants se résolvent actuellement dans leur environnement. Ensuite, des déploiements hybrides combinant des résolveurs locaux et dans le cloud assurent la résilience et maintiennent une protection constante dans des environnements distribués. Le DNS chiffré doit être encadré pour que les points de terminaison continuent d’utiliser les résolveurs d’entreprise de confiance, plutôt que de contourner les contrôles organisationnels. Enfin, la télémétrie DNS enrichie devrait faire partie des opérations courantes du SOC, permettant aux analystes d’identifier les comportements d’attaque beaucoup plus tôt dans le cycle des menaces.
Faire du DNS votre première ligne de défense
La cybersécurité a toujours été une course pour réduire l’avantage des attaquants. Depuis des années, les défenseurs se concentrent sur la détection de compromissions après l’établissement des connexions réseau, l’exécution de logiciels malveillants ou le début des mouvements de données. Pourtant, presque chacune de ces attaques commence par une recherche DNS unique.
Cette première question, « Où puis-je trouver ce nom ? » est le signal observable le plus précoce dont disposent les défenseurs. Les organisations qui y répondent avec de l’intelligence, plutôt que par des suppositions, seront mieux positionnées pour prévenir les attaques que pour simplement y réagir.
