Comment utiliser un flux NRD pour détecter le phishing avant qu'il n'atteigne la boîte mail

Les opérateurs de phishing enregistrent des domaines neufs parce qu'ils les consomment rapidement. Un site usurpateur peut vivre 48 heures avant que les demandes de retrait ne rattrapent la campagne — et les identifiants sont déjà volés. Attendre qu'un domaine apparaisse sur une blocklist, c'est toujours réagir à l'infrastructure d'hier.

Un flux de domaines récemment enregistrés (NRD) comble une partie de ce décalage. Au lieu d'attendre les signalements d'abus, vous observez le flux d'enregistrements lui-même — souvent des jours avant le premier email de phishing. La NRD List isMalicious ajoute environ 100 000 à 150 000 domaines par jour, les TLD majeurs apparaissant dans les 24 heures suivant l'enregistrement. Vous pouvez filtrer par TLD et par fenêtre d'âge (1, 7 ou 30 jours) selon la capacité de revue de votre équipe.

Ce guide couvre trois workflows opérationnels : surveillance de marque, hygiène des passerelles mail et triage SOC. Il explique aussi pourquoi l'âge seul est une règle de blocage catastrophique — et avec quoi le combiner.

Pourquoi la surveillance NRD fonctionne contre le phishing

L'infrastructure de phishing suit un cycle prévisible :

1. Enregistrer un domaine lookalike (secure-paypa1-login.com, microsoft-auth-update.net).
2. Pointer le DNS vers un hébergement bon marché ou un CMS compromis.
3. Envoyer des mails ou des publicités vers le site.
4. Collecter les identifiants jusqu'au signalement.
5. Abandonner le domaine et recommencer.

Les étapes 1 et 2 précèdent tout clic victime. Un flux NRD permet de repérer l'étape 1 le jour de l'enregistrement — parfois avant même la configuration DNS. C'est dans cette fenêtre que les équipes protection de marque et sécurité email tirent le meilleur parti.

Le flux est bruyant. La plupart des nouveaux domaines sont légitimes : startups, microsites de campagne, projets personnels. Votre travail n'est pas de tout bloquer de jeune. C'est de filtrer le torrent jusqu'aux correspondances qui méritent l'attention d'un analyste.

Pourquoi l'âge seul n'est pas une règle de blocage

La tentation est forte : écrire une règle pare-feu ou mail « refuser tout domaine enregistré depuis moins de 7 jours ». Ne le faites pas sans conditions supplémentaires.

Faux positifs immédiats :

• Un fournisseur enregistre un portail la semaine de son onboarding.
• Le marketing lance un microsite sur un domaine neuf pour un salon.
• Un client SaaS utilise un domaine récent pour un callback d'intégration légitime.
• Les fournisseurs de mail gratuits et raccourcisseurs d'URL font tourner constamment des domaines jeunes.

Ce que l'âge indique réellement : le domaine n'a pas d'historique de réputation établi. C'est un a priori, pas un verdict. Un domaine enregistré hier est plus probablement une infrastructure jetable qu'un domaine de 2015 — mais « plus probablement » n'est pas « coupable ».

Traitez l'âge comme entrée de scoring, pas décision binaire :

| Signal | Poids | Exemple | |--------|-------|---------| | Âge < 7 jours | Moyen | Monte la priorité, ne bloque pas automatiquement | | Correspondance floue marque | Élevé | paypa1-secure.com vs votre liste de marques | | TLD suspect | Faible–Moyen | .xyz, .top seuls ne signifient pas grand-chose | | WHOIS privé + domaine jeune | Moyen | Courant en phishing, aussi en légitime | | Déjà signalé en réputation | Élevé | Confirme avec preuve externe |

Utilisez le lookup Domain Age pour les dates d'enregistrement en triage, et WHOIS pour le contexte registrar et nameserver.

Workflow 1 : Surveillance de marque

Objectif : Détecter les domaines usurpant votre marque avant l'envoi de mail ou la mise en ligne.

Étapes :

1. Constituer une liste de mots-clés : noms de marque, produits, fautes courantes, noms de dirigeants. Inclure variantes avec tirets et concaténées (votremarque-login, votremarquesecure).

2. Extraire les exports NRD quotidiens filtrés sur vos TLD prioritaires (.com, .net, ccTLD où vous opérez).

3. Appliquer la correspondance floue contre la liste. Des outils Python (rapidfuzz, fuzzywuzzy) ou les règles de marque intégrées aux TIP conviennent.

4. Enrichir avant escalade. Pour chaque hit :

   • WHOIS pour registrar et date de création.
   • Résolution DNS — enregistrement A présent ou domaine parqué ?
   • Si une page existe, URL Scanner pour redirections et formulaires.

5. Niveaux de triage :

   • P1 : Page active collectant des identifiants imitant votre login → demande de retrait + bloc interne.
   • P2 : Lookalike enregistré, pas encore de page → surveillance 72 h, règle de bloc préparée.
   • P3 : Correspondance faible, contenu sans rapport → journaliser et clore.

6. Alimenter blocklist et règles mail pour les usurpations confirmées. Documenter domaine, date d'enregistrement et statut de retrait dans le ticket.

La surveillance de marque offre le meilleur ROI NRD : le ratio signal/bruit reste gérable quand on filtre sur ses propres noms.

Workflow 2 : Hygiène des allowlists de passerelle mail

Objectif : Empêcher les domaines récemment enregistrés de contourner vos filtres antispam via des exceptions d'allowlist.

Beaucoup d'organisations maintiennent des allowlists pour partenaires, newsletters et notifications SaaS. Avec le temps, des entrées obsolètes et des motifs trop larges s'accumulent (*.fournisseur.com qui résout différemment aujourd'hui). Pire : allowlister un TLD entier crée un trou que les attaquants exploitent avec un domaine neuf.

Étapes :

1. Auditer l'allowlist trimestriellement. Exporter chaque domaine autorisé et vérifier l'âge via Domain Age. Signaler tout domaine de moins de 30 jours non approuvé explicitement.

2. Ajouter un contrôle NRD à la politique mail entrante. Règle type : si le domaine expéditeur a moins de N jours ET n'est pas sur la liste approuvée → quarantaine ou bannière d'avertissement. Commencer avec N=7 et ajuster selon les faux positifs.

3. Croiser avec les domaines des liens dans le corps. Le phishing envoie souvent depuis un expéditeur neutre alors que le lien malveillant pointe vers un autre domaine jeune. Parser les URL du corps et les vérifier contre le flux NRD.

4. Intégrer à votre stack sécurité email. Les données NRD enrichissent les règles ; elles ne remplacent pas SPF/DKIM/DMARC ni la sandbox.

L'objectif n'est pas de bloquer tous les expéditeurs jeunes. C'est d'éviter la dérive des allowlists qui crée un contournement permanent exploitable par des enregistrements jetables.

Workflow 3 : Triage SOC

Objectif : Quand une alerte cite un domaine inconnu, utiliser le contexte NRD pour prioriser l'investigation.

Un analyste voit une requête DNS vers cdn-update-service.xyz depuis un poste. Investigation complète ce soir ?

Checklist de triage :

1. Contrôle d'âge. Domaine enregistré il y a 2 jours → priorité élevée. Huit ans → chemin standard.

2. Lookup réputation. Intelligence domaine ou API pour les verdicts existants.

3. Pivot infrastructure. Nameservers WHOIS, ASN d'hébergement, domaines co-hébergés. Domaine jeune sur hébergement bulletproof → rang plus haut que sur un CDN majeur.

4. Contexte utilisateur. Clic navigateur (phishing possible) ou processus arrière-plan (peut-être légitime) ?

5. Décision :

   • Jeune + mauvaise réputation + action utilisateur → isoler l'hôte, historique navigateur.
   • Jeune + pas de réputation + processus arrière-plan → surveiller, revérifier sous 24 h.
   • Ancien + signaux mixtes → enrichissement standard, pas d'urgence.

Le contexte NRD ne remplace pas la sandbox ni la télémétrie endpoint. Il indique à l'analyste où passer les 15 prochaines minutes.

Combiner les signaux : exemple de scoring

Règles simples implémentables en playbook SOAR ou passerelle mail :

SI age_domaine < 7 jours
  ET correspondance_floue(liste_marque) > 85%
  ALORS quarantaine + alerte équipe protection marque

SI age_domaine < 3 jours
  ET url_scanner.formulaire_identifiants = vrai
  ALORS bloc + incident P1

SI age_domaine < 30 jours
  ET reputation.malveillant = vrai
  ALORS bloc au proxy/pare-feu

SI age_domaine < 7 jours
  ET aucun autre signal
  ALORS tag "domaine-jeune" + autoriser avec journalisation

L'âge réduit le jeu de candidats ou monte la sévérité, mais chaque action d'application exige au moins un signal supplémentaire.

Conseils opérationnels

Commencer en surveillance, pas en blocage. Mode alerte seule pendant deux semaines. Mesurer vrais positifs vs bruit avant l'application.

Filtrer par TLD tôt. Si 90 % de votre phishing vise .com, ne perdez pas de cycles sur .church sauf modèle de menace contraire.

La rétention compte. Conserver 30 jours d'historique NRD pour revérifier un domaine apparu dans les logs la semaine dernière.

Ne pas oublier les sous-domaines. Certaines attaques utilisent login.votremarque-attaqueur.com où le parent date de mois mais le sous-domaine phishing d'hier. Les flux NRD suivent les nouvelles inscriptions, pas les nouveaux sous-domaines — compléter avec une surveillance DNS.

Documenter vos seuils. Quand on demande pourquoi un domaine est bloqué, le ticket doit contenir âge, score de correspondance et résultats d'enrichissement — pas seulement « c'était neuf ».

Par où commencer

1. Demander l'accès à la NRD List et extraire un échantillon pour vos trois TLD principaux.
2. Construire une liste de mots-clés marque et lancer la correspondance floue sur les inscriptions d'hier.
3. Ajouter des contrôles d'âge à une règle mail en mode surveillance.
4. Former les analystes à consulter Domain Age lors du triage des alertes domaine.

La surveillance NRD n'éliminera pas le phishing. Elle vous donne de l'avance sur les domaines que les attaquants traitent comme jetables — et combinée à la correspondance de marque, au contexte DNS et aux données de réputation, cette avance fait souvent la différence entre un email en quarantaine et un compte compromis.