Recherche WHOIS pour les enquêtes de sécurité : lire un enregistrement après anonymisation

Le reproche le plus courant fait à WHOIS est que les services de confidentialité l'ont ruiné. Les noms, courriels et numéros de téléphone des titulaires sont anonymisés sur la grande majorité des domaines, et la technique consistant à partir du courriel d'un titulaire pour retrouver tous les autres domaines qu'il a enregistrés a largement cessé de fonctionner.

C'est exact, et cela compte moins qu'il n'y paraît. L'anonymisation a supprimé les champs d'identité. Elle a laissé intacts les champs de chronologie, le bureau d'enregistrement, les serveurs de noms et les codes de statut — et ce sont eux qui portent l'essentiel de l'usage réel que fait un analyste du WHOIS pendant le triage. Un enregistrement qui vous apprend qu'un domaine a été créé il y a neuf jours chez un bureau d'enregistrement au mauvais bilan en matière d'abus fait un travail utile, que vous sachiez ou non qui le possède.

Ce guide couvre ce qui subsiste dans un enregistrement WHOIS, comment le lire pendant une enquête, et à quel moment il cesse de suffire.

Ce que contient un enregistrement WHOIS

En écartant les différences de format entre registres, tous les enregistrements offrent à peu près les mêmes champs :

• Bureau d'enregistrement sponsor — la société par laquelle le domaine a été enregistré.
• Date de création — le premier enregistrement du domaine. Le champ de plus grande valeur pour le triage de sécurité.
• Date d'expiration — l'échéance de l'enregistrement sans renouvellement.
• Dernière modification — la dernière évolution d'un détail d'enregistrement, y compris les serveurs de noms et le bureau d'enregistrement.
• Serveurs de noms — les serveurs DNS autoritaires auxquels le domaine délègue.
• Codes de statut du domaine — les valeurs de statut EPP telles que clientTransferProhibited, serverHold ou pendingDelete.
• Contacts titulaire, administratif et technique — souvent anonymisés, remplacés par un service de confidentialité ou réduits à une adresse de redirection.

Une remarque sur le protocole : RDAP est le successeur structuré de WHOIS et renvoie du JSON avec des noms de champs cohérents plutôt que du texte libre variant selon le registre. Les registres y migrent progressivement. Pour l'enquête, les données sont globalement identiques ; RDAP est simplement moins pénible à analyser.

Lire un enregistrement en enquêteur

Les champs n'ont pas la même valeur informative. Par ordre approximatif d'utilité pour le triage :

La date de création est le signal isolé le plus fort

Les domaines récemment enregistrés sont fortement surreprésentés dans le phishing, la distribution de logiciels malveillants et la fraude au président, pour une raison simple : l'infrastructure de campagne vieillit mal, donc les attaquants enregistrent sans cesse de nouveaux domaines. Un domaine créé au cours des 30 derniers jours qui reçoit soudain des clics de vos utilisateurs mérite une attention que le même domaine ne justifierait pas à trois ans d'ancienneté.

Traitez cela comme un facteur de pondération et non comme un verdict. Des entreprises légitimes enregistrent des domaines chaque jour. Mais « créé il y a 4 jours » plus « imite notre marque dans le nom d'hôte » constitue une conclusion, pas une coïncidence.

Les serveurs de noms regroupent l'infrastructure

Les valeurs de serveurs de noms sont l'un des rares moyens restants de regrouper des domaines partageant un même opérateur. Les campagnes provisionnées via le même hébergeur ou fournisseur DNS partagent fréquemment les mêmes noms d'hôte de serveurs de noms : une paire qui revient sur plusieurs domaines suspects constitue donc un pivot à suivre, même lorsque tous les champs du titulaire sont masqués.

Deux réserves : les grands hébergeurs placent des millions de domaines sans lien derrière les mêmes serveurs de noms, si bien que des serveurs de noms partagés chez un fournisseur grand public ne prouvent rien. Le signal vient de valeurs inhabituelles et peu peuplées, pas de ns1.bigregistrar.com.

Les dates de modification révèlent les changements récents

Un enregistrement modifié ces derniers jours sur un domaine par ailleurs vieux de plusieurs années mérite un examen. Le détournement de domaine, la réutilisation de domaines expirés et les changements de serveurs de noms précédant une campagne laissent tous un horodatage frais à cet endroit. Associez-le à l'historique DNS pour voir ce qui a réellement changé.

Les codes de statut révèlent l'action du bureau d'enregistrement

serverHold signifie que le registre a cessé de faire résoudre le domaine — souvent à la suite d'une plainte pour abus. pendingDelete signifie qu'il est en voie de suppression et pourrait redevenir disponible à l'enregistrement, ce qui compte si le domaine figure dans vos listes d'autorisation. clientTransferProhibited est ordinaire et ne signifie rien en soi.

La réputation du bureau d'enregistrement est un signal faible

Les bureaux d'enregistrement diffèrent sensiblement dans leur traitement des abus. Certains répondent aux signalements en quelques heures ; d'autres sont systématiquement surreprésentés dans les données d'abus. C'est un signal faible pris isolément et utile en agrégat — digne d'être noté dans une enquête, jamais suffisant pour bloquer.

Les dates d'expiration peuvent indiquer l'intention

Un domaine enregistré pour la durée minimale d'un an et jamais renouvelé correspond à une infrastructure de campagne jetable. Un domaine enregistré pour dix ans est un indice faible d'une opération de plus long terme, légitime ou non.

La question de l'anonymisation

La protection de la confidentialité apparaît sur une large part des domaines légitimes, ce qui lui retire presque tout pouvoir discriminant à elle seule. Considérer « le WHOIS est privé » comme suspect génère des faux positifs à un rythme qui épuisera vite une file d'analystes.

Là où l'anonymisation compte vraiment, c'est dans ce qu'elle vous oblige à faire à la place. Puisque vous ne pouvez plus pivoter sur le courriel du titulaire, vous pivotez sur l'infrastructure : serveurs de noms, IP d'hébergement, détails des certificats TLS et historique DNS. Ces pivots ont toujours été plus fiables que les données de titulaire, que les attaquants pouvaient falsifier librement bien avant l'existence des services de confidentialité.

Là où WHOIS s'arrête

WHOIS répond à une question étroite — comment et quand ce domaine a été enregistré — et s'arrête là. Il ne vous dit pas :

• Si le domaine est actuellement malveillant. Les données d'enregistrement ne contiennent aucun verdict. La réputation est une recherche distincte.
• Où le domaine résout maintenant, ou résolvait la semaine dernière. Cela relève du DNS, pas du WHOIS, et la différence compte quand l'infrastructure bouge en cours de campagne.
• Ce qui réside par ailleurs sur le même serveur. Les domaines co-hébergés viennent d'une recherche IP inverse, qui est souvent l'étape où un domaine suspect isolé devient un ensemble.
• Si le contenu est une page de phishing. Les données d'enregistrement ne voient pas la page. Cela exige une analyse d'URL.

En pratique, l'unité utile n'est pas un enregistrement WHOIS mais un tableau combiné : l'ancienneté d'enregistrement via le WHOIS, la résolution actuelle et passée via l'historique DNS, le co-hébergement via la recherche IP inverse, et un verdict de réputation via le renseignement sur les domaines. Chacun pris seul produit soit un faux positif, soit un haussement d'épaules.

Trois workflows concrets

Triage d'un signalement de phishing. Un utilisateur signale un lien suspect. Consultez le WHOIS du domaine : s'il a été créé au cours des deux dernières semaines, cela justifie à lui seul de l'escalader devant le reste de la file. Comparez les serveurs de noms à ceux d'autres domaines issus de signalements récents — une paire répétée signale généralement une seule campagne plutôt que plusieurs. Analysez ensuite l'URL pour voir la page d'atterrissage et suivre la chaîne de redirection.

Surveillance de l'usurpation de marque. Les domaines sosies sont peu coûteux à enregistrer et faciles à trouver une fois enregistrés. La date de création WHOIS vous indique lesquels sont assez récents pour faire partie d'une campagne active plutôt que d'enregistrements défensifs dormants réalisés par un tiers. Les codes de statut vous indiquent lesquels un bureau d'enregistrement a déjà suspendus, pour ne pas dépenser d'effort sur une demande de retrait déjà traitée.

Établissement du périmètre d'un incident. Pendant une intrusion, des domaines inconnus apparaissent dans les journaux DNS et proxy. L'ancienneté d'enregistrement est le premier filtre le plus rapide : un domaine enregistré après votre date supposée d'accès initial est presque certainement une infrastructure d'attaquant plutôt qu'un service légitime que quelqu'un a oublié de documenter.

L'automatiser

Les recherches WHOIS manuelles conviennent pour un domaine et deviennent intenables pour la centaine qu'un seul incident produit. La recherche WHOIS d'isMalicious couvre plus de 1 000 TLD, dont tous les gTLD majeurs et la plupart des ccTLD, avec des enregistrements rafraîchis à la demande et mis en cache pendant 24 heures afin que les consultations répétées au cours d'une enquête ne réinterrogent pas le registre.

Pour le volume, l'API renvoie les données d'enregistrement aux côtés de la réputation et du contexte DNS et d'hébergement en un seul appel, ce qui correspond à la forme attendue par un SIEM ou un playbook SOAR : enrichir l'alerte de domaine une seule fois, avec tout le contexte attaché, plutôt que de laisser un analyste reconstituer le tableau depuis quatre outils distincts. Lorsqu'une enquête produit une liste plutôt qu'un indicateur unique, la recherche en masse traite domaines et IP dans la même requête au lieu d'un onglet à la fois.

En résumé : WHOIS a perdu le champ dont tout le monde parlait et conservé ceux qui déterminent réellement l'ordre de triage. Lisez les dates, regroupez sur les serveurs de noms, et associez le tout à des données de résolution et de réputation avant de conclure.