Détection du tunneling DNS : repérer les canaux C2 cachés dans le trafic DNS

Le tunneling DNS reste l’un des canaux de commande et contrôle (C2) les plus discrets, car il détourne un protocole que presque aucune organisation ne bloque en sortie. Pour les équipes SOC, le détecter demande moins de nouveaux outils que de nouvelles questions posées aux logs DNS déjà collectés.

Pourquoi le DNS échappe aux contrôles classiques

Le port 53 est traité comme un service d’infrastructure, pas comme un canal applicatif à inspecter. La plupart des pare-feux et proxies laissent passer le DNS sans filtrage de contenu, parce que bloquer la résolution de noms casse immédiatement la navigation et les services internes.

Un tunnel DNS exploite exactement cette confiance : les données utiles — commandes C2, fragments de fichiers exfiltrés — sont encodées en base32/base64 dans le sous-domaine d’une requête (az4f9k2...malicious-domain.tld), ou dans le contenu d’une réponse via des enregistrements TXT, CNAME ou NULL. Le serveur autoritaire du domaine, contrôlé par l’attaquant, décode la requête et répond avec les instructions suivantes. Vu depuis le pare-feu, ce n’est qu’une résolution DNS de plus.

Les signaux qui trahissent un tunnel

Aucun indicateur isolé n’est suffisant, mais leur combinaison forme un profil de détection exploitable :

• Entropie des sous-domaines — les libellés encodés (base32/base64/hex) ont une distribution de caractères très différente d’un nom de domaine lisible ; une entropie de Shannon élevée sur le label le plus à gauche est un signal fort.
• Taux de NXDOMAIN anormal — certains outils de tunneling génèrent des sous-domaines uniques à chaque requête ; un domaine qui déclenche un volume inhabituel de réponses NXDOMAIN mérite un examen.
• Longueur et volume des requêtes — des sous-domaines proches de la limite de 63 caractères par label, et un nombre de requêtes par heure très supérieur à la moyenne pour un domaine donné, trahissent un transport de données plutôt qu’une résolution ponctuelle.
• Types d’enregistrements rares — un usage disproportionné de TXT, NULL ou CNAME par rapport à A/AAAA sur un même domaine, alors que ces types sont rarement dominants dans un trafic légitime.
• Régularité temporelle — un rythme de requêtes trop régulier (beaconing) évoque un agent automatisé plutôt qu’un utilisateur humain.

Le DNS passif comme preuve forensique

Une fois qu’un domaine suspect est identifié, l’historique DNS apporte le contexte que les logs temps réel ne donnent pas : depuis quand le domaine résout, vers quelles infrastructures, et si ces résolutions coïncident avec d’autres campagnes déjà documentées. Un domaine créé récemment, avec un historique de résolution instable vers des IP hébergées dans des ASN à forte rotation, renforce fortement la suspicion de tunneling. Le DNS history d’isMalicious permet de rejouer cet historique et de confirmer, ou d’infirmer, qu’un domaine a un usage cohérent avec un canal C2 plutôt qu’avec un service légitime.

Règles SIEM et corrélation avec une infrastructure connue

Une fois les signaux d’entropie, de volume et de type d’enregistrement instrumentés dans le SIEM, l’étape suivante consiste à corréler le domaine suspect avec une base de réputation. Un domaine qui déclenche déjà plusieurs signaux comportementaux, et qui est associé à une infrastructure connue comme malveillante, doit remonter en priorité au-dessus de la file d’alertes.

Quelques modèles de règles utiles :

1. Seuil d’entropie + volume — alerte lorsqu’un domaine dépasse un seuil d’entropie moyenne sur ses labels ET génère plus de N requêtes/heure par hôte.
2. Ratio NXDOMAIN — alerte lorsque le ratio de réponses NXDOMAIN pour un domaine dépasse un seuil sur une fenêtre glissante, un motif typique des outils générant un sous-domaine unique par paquet.
3. Corrélation de réputation — enrichir chaque domaine candidat via l’analyse de domaine avant de créer un incident, pour distinguer un faux positif (CDN, télémétrie légitime) d’une infrastructure déjà signalée.
4. Agrégation par hôte source — regrouper les alertes DNS par poste de travail ou serveur émetteur : un tunnel actif produit généralement un volume soutenu depuis un seul hôte compromis, pas une distribution homogène sur le parc.

Ces règles s’intègrent naturellement dans une solution SIEM qui centralise déjà les logs DNS, DHCP et proxy — le tunneling DNS se détecte rarement depuis une source unique, mais depuis la corrélation entre plusieurs journaux.

Enrichir et bloquer automatiquement les résolveurs suspects

La dernière étape consiste à fermer la boucle : dès qu’un domaine est confirmé comme vecteur de tunneling, il doit être poussé en blocage sans attendre une revue manuelle complète. En interrogeant l’API isMalicious depuis le pipeline de détection, une équipe SOC peut enrichir automatiquement chaque domaine candidat — réputation, historique DNS, âge d’enregistrement, association à des campagnes connues — et déclencher un blocage sur le resolver DNS ou le pare-feu dès que le score dépasse un seuil défini.

Cette automatisation réduit le temps entre la première requête suspecte et le blocage effectif, sans imposer une revue manuelle sur chaque alerte de faible confiance.

Pour les équipes SOC : la checklist opérationnelle

• Activer la journalisation complète des requêtes DNS (labels complets, type d’enregistrement, code de réponse) sur les resolvers internes.
• Déployer les règles de détection d’entropie et de ratio NXDOMAIN décrites ci-dessus dans votre solution SOC.
• Enrichir chaque domaine candidat via réputation et historique DNS avant escalade en incident.
• Automatiser le blocage des domaines confirmés via l’API, avec un log d’audit pour toute action automatisée.
• Revoir trimestriellement les seuils : les outils de tunneling évoluent, et un seuil figé perd en précision avec le temps.

Le tunneling DNS n’est pas une menace nouvelle, mais il reste efficace précisément parce que peu d’organisations instrumentent leurs logs DNS au niveau de détail nécessaire. Les équipes qui ferment cet angle mort gagnent une visibilité durable sur l’un des canaux d’exfiltration les plus discrets du paysage actuel.