Sécurité DNS over HTTPS : détecter les abus DoH

DNS over HTTPS (DoH) encapsule le trafic de résolution dans HTTPS. Il améliore la confidentialité sur un réseau non fiable et réduit les manipulations en chemin. Mais, dans l’entreprise, un DoH non géré peut contourner le résolveur qui porte le filtrage, la journalisation et les politiques de threat intelligence.

L’objectif n’est pas d’interdire le DNS chiffré. Il faut fournir un chemin privé approuvé, empêcher le contournement silencieux et détecter les malwares qui déguisent leur C2 en trafic de résolution.

Ce que DoH change

La RFC 8484 standardise les requêtes DNS sur HTTPS. Un équipement qui observait auparavant le port 53 ne voit plus que HTTPS vers un résolveur :

• requête et réponse sont chiffrées en transit ;
• DoH partage le port 443 avec le web ;
• une application peut choisir son résolveur indépendamment du système.

Navigateurs, OS et outils de confidentialité légitimes prennent en charge DoH. Un malware peut utiliser le même protocole ou en imiter la forme. Le contexte importe davantage que le chiffrement.

Commencer par la gouvernance

Définissez les résolveurs approuvés pour les appareils gérés. Ils doivent offrir des garanties adaptées de confidentialité, rétention, filtrage, disponibilité et conformité. Configurez navigateurs et systèmes par politique d’entreprise.

Documentez les exceptions des développeurs, mobiles et outils de sécurité avec application, propriétaire, destination et expiration. Ne bloquez les résolveurs publics qu’après avoir fourni une alternative fiable.

Détecter sans déchiffrement universel

Combinez plusieurs télémétries.

Intelligence de destination

Maintenez les hostnames, IP et certificats des résolveurs autorisés. Alertez lorsqu’un endpoint contacte une destination nouvelle ou mal réputée avec un comportement de résolution.

Contexte du processus

Collectez le processus responsable. Un navigateur approuvé utilisant DoH diffère d’un exécutable non signé placé dans un dossier temporaire.

Comportement du trafic

Recherchez petites requêtes fréquentes, intervalles réguliers, ratio montant-descendant inhabituel et activité prolongée incohérente avec le processus. Ce sont des hypothèses, pas des preuves.

Corrélation DNS et domaine

Comparez les endpoints qui contournent le résolveur avec leurs connexions ultérieures. Enrichissez les destinations par réputation de domaine et réputation IP.

Une inspection TLS sélective peut être justifiée pour un segment géré à haut risque, après revue juridique et minimisation des données. Elle ne doit pas devenir la réponse par défaut.

Détecter DoH comme canal C2

Un malware peut interroger normalement un résolveur public pour obtenir des enregistrements malveillants, ou exploiter un endpoint DoH personnalisé pour transporter des données. Enquêtez quand :

• un processus non navigateur contacte fréquemment un résolveur ;
• l’endpoint ignore la politique d’entreprise ;
• le rythme ressemble à du beaconing ;
• la destination est récente, rare ou liée à une infrastructure hostile ;
• le même processus crée persistance, fichiers ou enfants suspects.

Corrélez avec le comportement endpoint et le guide de détection C2. Une signature réseau seule reste fragile.

Réponse à incident

Conservez arbre de processus, destination, certificat, timing et état de la politique. Isolez l’endpoint si d’autres preuves indiquent une compromission. Bloquez la destination et ses liens, puis déterminez si l’attaquant a utilisé un résolveur public, un service privé ou une imitation.

Vérifiez ensuite la dérive des politiques sur toute la flotte. Un appareil compromis peut révéler que beaucoup d’autres contournent silencieusement le chemin prévu.

Métriques et vie privée

Mesurez la part des endpoints gérés utilisant un résolveur approuvé, les destinations DoH inconnues, les échecs de politique, les alertes confirmées par l’endpoint et le délai de correction. Mesurez aussi les données collectées : chaque champ doit avoir une finalité et une rétention.

Conclusion

DoH est un protocole de confidentialité, pas un indicateur malveillant. Sécurisez-le avec des résolveurs gouvernés, une télémétrie centrée sur l’endpoint et une investigation fondée sur le risque. Préservez la visibilité par corrélation et appuyez-vous sur la sécurité DNS enrichie par la threat intelligence.