Sécurité et durcissement DNS — BIND, DNSdist et résilience aux DDoS volumétriques

ITORO ne vend pas de « protection DDoS DNS » générique. Ce que nous livrons est concret : le durcissement des résolveurs DNS récursifs à l’aide d’un front-end de sécurité DNSdist, intégré au BGP FlowSpec et à WanGuard à la bordure du réseau. Cela signifie bloquer les domaines de malware, de phishing, de jeux d’argent et autres domaines dangereux, limiter le débit ou null-router les résolveurs et clients abusifs, et éliminer les floods volumétriques sur UDP/53 — en toute honnêteté sur la couche qui arrête chaque attaque.

Récursif ou faisant autorité — sachez lequel vous exploitez

La bonne défense dépend de ce que font réellement vos serveurs. Un résolveur récursif répond aux requêtes pour le compte de vos utilisateurs et va chercher les réponses à travers l’internet ; il est exposé aux abus côté client, aux tentatives d’empoisonnement de cache et à l’utilisation comme amplificateur de réflexion. Un serveur faisant autorité publie vos propres zones au monde entier et constitue une cible pour les floods de requêtes contre les noms que vous hébergez. Les deux affrontent des menaces différentes et exigent un durcissement différent. Le travail DNSdist d’ITORO se concentre sur la bordure récursive — le résolveur vers lequel pointent vos abonnés ou vos utilisateurs internes — et sur le fait de le garder rapide, filtré et difficile à détourner.

DNSdist comme front-end de sécurité

DNSdist se place devant vos backends de résolution et vous offre un point de contrôle que BIND ou Unbound bruts n’exposent pas d’eux-mêmes :

• Le Response Rate Limiting (RRL) et des limites de requêtes par client / par réseau, afin qu’une seule source abusive ne puisse épuiser le résolveur.
• Le blocage dynamique des sources qui franchissent des seuils comportementaux — la signature classique des floods NXDOMAIN et « water-torture » à sous-domaines aléatoires.
• Le filtrage DNS protecteur : le blocage des domaines connus de malware, phishing, commande-et-contrôle, jeux d’argent et autres domaines dangereux à l’aide de flux de menaces (URLhaus, ThreatFox, CERT.pl et similaires), en renvoyant une réponse sûre au lieu de les résoudre.
• La répartition de charge et la mise en cache entre les backends pour amortir les pics de requêtes et continuer à servir le bon trafic.
• Le DNS chiffré — DoT, DoH et DoQ — terminé au front-end avec des certificats automatisés.

L’objectif du RRL et du blocage dynamique est précis : ils protègent le résolveur contre la saturation et contre son détournement en amplificateur. Ils façonnent et éliminent les requêtes de manière logicielle, à la couche applicative, là où le nom de la requête est réellement visible.

Là où interviennent WanGuard et le BGP FlowSpec

DNSdist raisonne sur le DNS. Il ne peut rien pour vous lorsque le problème est un volume brut de paquets. Un gros flood d’amplification ou de réflexion sur UDP/53 peut saturer vos liens montants avant même qu’une seule requête ne soit analysée — et là, les outils changent. WanGuard détecte l’anomalie volumétrique à partir du NetFlow/sFlow/IPFIX et l’élimine avec le BGP FlowSpec ou, à la limite, le RTBH à la bordure du routeur, avant que le flood n’atteigne le résolveur. Le FlowSpec peut limiter le débit ou rejeter le trafic UDP/53 par source, destination, port et longueur de paquet — un filtre L3/L4 brut mais efficace. C’est la couche volumétrique ; DNSdist est la couche applicative ; vous avez besoin des deux.

L’Anycast pour la capacité et le rayon d’impact

Placer des résolveurs récursifs derrière l’Anycast répartit la charge de requêtes sur plusieurs nœuds annonçant la même adresse. Sous un flood, le trafic d’attaque est distribué plutôt que concentré sur une seule machine, et un nœud retiré du service bascule sans changer l’IP de résolveur qu’utilisent vos clients. L’Anycast n’est pas une mitigation en soi — les paquets arrivent quand même quelque part — mais il augmente le volume que vous pouvez absorber et réduit le rayon d’impact de tout événement isolé.

Un périmètre honnête — ce que ces outils ne peuvent pas faire

• Le BGP FlowSpec n’exprime que des critères de correspondance L3/L4. Il ne peut pas inspecter un nom de requête DNS — il ne distingue pas « malware.example » d’une recherche légitime. Le filtrage par nom se fait dans DNSdist, pas dans FlowSpec.
• Le RRL protège votre résolveur, mais le flood arrive quand même sur le fil. Il empêche votre serveur de s’effondrer ; il n’annule pas l’envoi des paquets. La saturation du lien montant est un problème pour WanGuard / l’amont.
• Les événements volumétriques à l’échelle du térabit dépassent toute capacité sur réseau et exigent un scrubbing en amont. Nous vous indiquons où se situe cette limite pour votre réseau, au lieu de prétendre qu’une seule machine y remédie.

Alignement NIS2

Le DNS est désigné infrastructure critique au titre de NIS2. Le durcissement DNSdist, le filtrage protecteur, la journalisation et la rétention, le transport chiffré et la supervision que nous déployons se rattachent directement aux mesures techniques de l’article 21(2), et nous fournissons une checklist de conformité spécifique à chaque pays ainsi qu’une intégration du signalement d’incidents aux CSIRT nationaux.

Foire aux questions

Proposez-vous la « protection DDoS DNS » comme produit ?

Pas comme une boîte noire. Nous durcissons vos résolveurs récursifs avec DNSdist et intégrons le BGP FlowSpec et WanGuard à la bordure. Nous sommes précis sur ce qui filtre quoi et où, au lieu de vendre un appliance remède universel.

Quelle est la différence entre le RRL et le BGP FlowSpec ici ?

Le RRL fonctionne à l’intérieur de DNSdist, à la couche applicative, et peut agir sur le comportement des requêtes et les noms ; le BGP FlowSpec fonctionne en L3/L4 sur le routeur et élimine les paquets par adresse, port et protocole. L’un protège la logique du résolveur, l’autre protège le lien montant.

DNSdist peut-il bloquer les domaines de phishing et de jeux d’argent pour nos utilisateurs ?

Oui. En tant que front-end DNS protecteur, il peut refuser les domaines connus de malware, phishing, C2, jeux d’argent et autres domaines dangereux issus des flux de menaces, en renvoyant une réponse sûre au lieu de les résoudre.

Et pour les tout plus gros floods sur UDP/53 ?

WanGuard les détecte et les filtre avec FlowSpec ou RTBH à la bordure ; au-delà de la capacité de votre lien montant, ils doivent être scrubbés en amont. Nous concevons l’escalade et vous indiquons où se situe la limite.