Des données peuvent-elles être volées par le DNS sans que personne ne s'en aperçoive ?

Oui, si personne ne regarde le DNS. Des données qui sortent par des requêtes DNS n'apparaissent pas comme un gros envoi, car chaque requête ne transporte que quelques dizaines d'octets, et beaucoup de pare-feu laissent passer le DNS sans l'inspecter. Elles se voient dans le schéma : un hôte qui envoie des milliers de requêtes vers des sous-domaines d'un même domaine inconnu, avec des noms longs d'apparence aléatoire jamais répétés, souvent à un rythme régulier. Pour le rendre visible, n'autorisez les appareils qu'à utiliser vos propres résolveurs DNS, bloquez sur le pare-feu le DNS direct vers internet, conservez les journaux des résolveurs et examinez les domaines comptant un nombre inhabituel de sous-domaines uniques. Les services de filtrage DNS ajoutent des listes de domaines de tunnelling connus. NetSenX détecte le tunnelling DNS sur les segments surveillés ; d'autres techniques fondées sur le DNS, comme les domaines générés par algorithme, ne font pas partie de ce sur quoi il alerte aujourd'hui.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes