Solutions d'historique DNS pour améliorer la transparence d'internet et la cybersécurité

Utilisation pratique

• Découverte des actifs DNS

  Maintenir l'inventaire des actifs à jour en découvrant les domaines et sous-domaines connectés ou cachés utilisés pour des applications et services web spécifiques. 

• Détection des menaces

  Identifier les schémas de résolution DNS inhabituels qui peuvent indiquer une activité de botnet ou des infrastructures compromises utilisées pour héberger ou distribuer des logiciels malveillants.

• Surveillance des acteurs de la menace

  Restez alerté sur les résolutions DNS associées à des acteurs connus de la menace, et découvrez des modèles ou des anomalies qui pourraient indiquer une activité malveillante.

• Protection de marque

  Surveiller les modifications des enregistrements DNS pour détecter les tentatives de détournement de domaine et évaluer comment les domaines associés peuvent affecter la réputation de la marque. 

• Évaluation des risques par des tiers

  Utiliser les données DNS pour retracer les changements de configuration des domaines, identifier les infrastructures connectées et détecter les activités suspectes liées à des fournisseurs ou à des tiers. 

• Détection de la fraude

  Repérer les comportements frauduleux en analysant les schémas DNS, les changements de propriété des domaines et les associations antérieures avec des serveurs malveillants.

Questions fréquemment posées

Qu'est-ce qu'un enregistrement DNS ?

Un enregistrement DNS est un enregistrement de données stocké dans le système de noms de domaine (DNS) qui associe des noms de domaine à des ressources spécifiques, telles que des adresses IP, des serveurs de messagerie ou d'autres services. Un serveur DNS résout ces enregistrements pour diriger le trafic internet et gérer les services liés au domaine. Les types d'enregistrements DNS les plus courants sont les suivants

• Enregistrement A : Associe un domaine à une adresse IPv4.
• Enregistrement AAAA : Associe un domaine à une adresse IPv6.
• Enregistrement MX : Spécifie les serveurs de messagerie pour la livraison du courrier électronique.
• Enregistrement NS : Liste des serveurs de noms faisant autorité pour un domaine.
• Enregistrement TXT : Stocke des informations textuelles, souvent utilisées pour vérifier la propriété d'un domaine (par exemple, les paramètres SPF, DKIM ou DMARC) ou d'autres métadonnées. Par exemple, la vérification de la propriété d'un site web pour utiliser la Search Console de Google nécessite l'ajout d'un certain enregistrement TXT à la liste des enregistrements d'hôte pour un nom de domaine.
• Enregistrement CNAME : Fait correspondre un alias ou un sous-domaine à un autre nom de domaine. Par exemple, il peut rediriger blog.example.com vers www.example.com.
• Enregistrement SOA (Start of Authority) : Contient des informations administratives sur le domaine, telles que le serveur de noms primaire, l'adresse électronique de contact de l'administrateur du domaine et le numéro de version de la zone DNS.
• Enregistrement PTR (Pointeur) : Résout une adresse IP en un nom de domaine, couramment utilisé dans les recherches DNS inversées.

Pour obtenir des informations sur les enregistrements DNS actuels d'un domaine, vous pouvez utiliser notre outil de recherche DNS ou DNS lookup API.

Quel est l'historique DNS d'un nom de domaine ?

L'historique DNS d'un nom de domaine est une liste des configurations DNS passées, y compris les changements d'adresses IP, de serveurs de noms, de serveurs de messagerie et d'autres enregistrements DNS au fil du temps. Il donne un aperçu de l'évolution de l'infrastructure d'un domaine et peut révéler des changements de propriétaire, des migrations ou des abus potentiels.

Contrairement à une grande partie des données WHOIS, les données DNS ne sont pas expurgées pour des raisons de confidentialité, de sorte que les enregistrements DNS historiques peuvent être très utiles à des fins de cybersécurité.

Le système de noms de domaine n'a pas été conçu pour conserver les enregistrements historiques, mais comme ils ont une grande valeur, il est naturel que des fournisseurs indépendants aient commencé à créer et à maintenir des bases de données d'historique DNS.

Quelles données pouvez-vous obtenir à partir de l'historique des DNS ?

L'historique DNS du domaine comprend généralement des détails tels que :

• Enregistrements A historiques : Modifications des correspondances d'adresses IPv4.
• Historique des enregistrements AAAA : Modifications des correspondances d'adresses IPv6.
• Historique des enregistrements MX : Modifications de la configuration des serveurs de messagerie.
• Enregistrements NS historiques : Mises à jour des serveurs de noms faisant autorité.
• Historical TXT records : Informations textuelles passées, souvent liées à la vérification ou à la sécurité.
• Enregistrements CNAME historiques : Modifications des alias ou des redirections pour les sous-domaines.
• les enregistrements SOA historiques Mises à jour des détails administratifs, tels que le serveur de noms principal ou la version de la zone.
• Enregistrements PTR historiques : Correspondances historiques entre les adresses IP et les noms de domaine, utilisées dans les recherches DNS inversées.
• Modifications et mises à jour horodatées : Une chronologie indiquant la date à laquelle chaque enregistrement a été ajouté, supprimé ou mis à jour.

Ces informations fournissent une chronologie détaillée de l'activité DNS d'un domaine et permettent de découvrir des modèles, des changements d'infrastructure, des liens potentiels avec des acteurs malveillants, etc.

Voici un exemple d'utilisation de notre outil de recherche DNS historique pour le site exemple.com, qui permet d'obtenir des informations historiques sur les liens entre les IP et les domaines ou entre les domaines et les IP :

À quoi peuvent servir les données historiques du DNS ?

Les données DNS historiques ont un large éventail d'applications pratiques dans les domaines de la cybersécurité, du renseignement sur les menaces et de la gestion des actifs. Vous pouvez les utiliser pour :

• Ajouter le contexte DNS aux plateformes SIEM, SOAR et TIP : Enrichir les systèmes de sécurité avec des informations DNS pour une meilleure prise de décision.
• Accélérer la détection et la réponse aux menaces : Identifier les changements inhabituels de DNS ou les schémas associés à des activités malveillantes.
• Élargir la découverte des actifs et la gestion des vulnérabilités : Localiser les domaines et sous-domaines non gérés ou oubliés, ainsi que les actifs associés par le biais des enregistrements DNS.
• Identifier les enregistrements DNS en suspens et les sous-domaines non sécurisés : Détecter les mauvaises configurations qui pourraient conduire à l'exposition ou à l'exploitation des données.
• Élargir la collecte de renseignements sur les menaces : Analyser les enregistrements DNS historiques pour découvrir les liens entre les domaines et l'infrastructure déjà connue des acteurs de la menace.
• Surveillez les changements dans l'infrastructure DNS des domaines suspects ou malveillants : Restez informé des mises à jour qui pourraient signaler de nouvelles menaces.
• Exécuter des analyses de découverte de services SaaS : Identifier les services et les plateformes liés à un domaine à l'aide d'indices provenant des enregistrements DNS et des sous-domaines.

Ces capacités font des données historiques du DNS une ressource très utile pour améliorer la posture de sécurité et obtenir des informations plus approfondies sur l'activité des domaines et les risques associés.

Comment vérifier l'historique des DNS ?

Pour vérifier l'historique des DNS :

• Utilisez un outil de recherche historique de DNS comme notre outil de recherche de chroniques DNS.
• Saisissez le nom de domaine que vous souhaitez examiner.
• Examiner les données historiques sur les enregistrements DNS, y compris les modifications et les mises à jour au fil du temps.

Vous pouvez également vous référer au service WhoisXMLAPI's DNS Database Download ou utiliser l'API DNS Chronicle. Ces modèles de livraison de données fournissent des enregistrements DNS détaillés et horodatés et peuvent s'avérer utiles lorsque vous devez automatiser des demandes d'enregistrements DNS historiques.

Comment utiliser l'historique DNS pour la détection des menaces de sécurité ?

L'historique des DNS peut aider à identifier des activités ou des schémas suspects, tels que

• Des changements soudains dans les serveurs de noms ou les adresses IP qui pourraient indiquer qu'un domaine est réaffecté à une campagne d'hameçonnage ou de logiciels malveillants.
• Des changements rapides dans les enregistrements DNS A ou AAAA - une technique appelée fast-flux qui permet d'échapper aux méthodes de détection traditionnelles, ce qui est souvent un indicateur d'activité malveillante.
• Domaines dont les enregistrements pointent vers une infrastructure malveillante connue (sur la base des codes de conduite fournis par les services de renseignement sur les menaces).

En analysant l'historique des DNS, les équipes de sécurité peuvent détecter les menaces potentielles et y répondre de manière proactive.

Comment utiliser l'historique DNS pour surveiller les acteurs de la menace ?

L'historique du DNS peut révéler des liens entre des domaines et des acteurs de la menace :

• Suivi de l'utilisation répétée d'adresses IP ou de serveurs de noms spécifiques et d'autres modèles de modifications d'enregistrements DNS liés à des attaquants connus.
• Révéler d'autres infrastructures d'acteurs de la menace grâce à des schémas DNS, ainsi que de nouveaux détails sur leurs méthodes et leurs activités.
• surveiller la migration de l'infrastructure des acteurs de la menace et identifier de manière proactive l'infrastructure qui n'a pas encore été utilisée.

Les fournisseurs de services de cybersécurité peuvent ainsi suivre l'évolution des tactiques et de l'infrastructure des acteurs de la menace.

Comment utiliser l'historique DNS pour détecter les fraudes ?

L'historique des DNS permet de détecter les fraudes :

• Enregistrez les changements qui correspondent à des activités de phishing ou d'escroquerie, comme le changement rapide d'adresses IP (enregistrements A et AAAA) ou de serveurs de noms.
• Utilisation d'enregistrements DNS jetables ou suspects avec des valeurs TTL faibles ou absence d'enregistrements MX légitimes qui devraient normalement être présents.
• Données historiques reliant les domaines frauduleux à des réseaux malveillants connus, tels que les serveurs de noms communs, les adresses IP et les bureaux d'enregistrement.

Ces informations aident les enquêteurs à retracer et à limiter les fraudes.

Comment utiliser l'historique des DNS pour la recherche d'actifs ?

L'historique DNS fournit une vue d'ensemble de l'activité d'un domaine, qui peut :

• Identifiez les domaines ou sous-domaines liés à votre organisation qui pourraient présenter des risques s'ils n'étaient pas surveillés ou utilisés à des fins malveillantes par d'autres après leur expiration ou leur transfert.
• Mettre en évidence les actifs numériques oubliés ou non surveillés, tels que les anciens sous-domaines ou domaines de sauvegarde qui peuvent encore être accessibles au public et servir de points d'entrée pour les attaquants s'ils ne sont pas correctement sécurisés.
• Découvrir les problèmes DNS tels que les enregistrements DNS mal configurés qui pourraient exposer des données sensibles telles que des services internes, des adresses IP sensibles ou des ressources en nuage.

En exploitant DNS History, les entreprises peuvent améliorer la visibilité et la sécurité de leurs actifs numériques.

Comment utiliser DNS history pour protéger la marque ?

DNS history contribue à la protection de la marque en vous permettant de détecter :

• Domaines de cybersquattage usurpant l'identité de votre marque et présentant des changements d'adresse IP suspects ou une utilisation répétée de serveurs de noms liés à des campagnes de phishing. Ces changements peuvent indiquer une intention malveillante de la part des propriétaires du domaine.
• Trafic potentiellement malveillant qui pourrait signaler des tentatives de défiguration du site web. Les pare-feu pour applications web (WAF) peuvent bloquer ce type de trafic à partir d'adresses IP malveillantes connues qui demandent l'accès à votre site web.
• Sous-domaines suspects liés à votre propre infrastructure qui peuvent signaler une prise de contrôle du sous-domaine.

Nous recommandons d'utiliser DNS History avec des flux de renseignements prédictifs sur les menaces pour obtenir de meilleurs résultats et une meilleure corrélation en ce qui concerne les efforts de protection de la marque. Lisez notre article de blog pour en savoir plus sur l'utilisation de DNS history pour la prévention des attaques contre les marques.