Un logiciel malveillant peut-il se cacher dans le DNS over HTTPS, et peut-on encore le voir ?

Il le peut, et la visibilité baisse. Le DNS over HTTPS (DoH) envoie les requêtes de noms dans un trafic web chiffré ordinaire vers un résolveur, souvent public, si bien que votre propre serveur DNS et ses journaux ne les voient jamais. Navigateurs et certains systèmes d'exploitation peuvent l'activer d'eux-mêmes, et un logiciel malveillant peut s'en servir pour cacher ses requêtes comme des données tunnelisées. Ce que vous pouvez encore faire : configurer par stratégie navigateurs et appareils pour utiliser votre propre résolveur, bloquer sur le pare-feu les résolveurs DoH publics connus quand cela convient à votre environnement, et examiner tout appareil qui envoie un trafic chiffré régulier vers un résolveur DoH en ignorant votre serveur DNS. Un capteur réseau voit la connexion au résolveur, son rythme et son volume, mais pas les noms qu'elle contient. NetSenX ne déchiffre jamais le trafic et ne peut donc pas lire les requêtes DoH ; il peut toutefois détecter le schéma de beaconing.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes