Un salarié clique sur un faux lien : pourquoi la protection DNS peut encore faire la différence
Même avec de la sensibilisation, un collaborateur peut cliquer sur un lien frauduleux. La protection DNS ajoute une barrière technique capable de bloquer certaines destinations dangereuses avant que la connexion ne s'établisse. Mais elle a aussi ses limites.
Il est 9h12.
Une collaboratrice reçoit un email qui semble provenir d'un fournisseur habituel.
Le message est correctement rédigé, le logo est présent et la demande paraît cohérente : consulter une facture mise à jour.
Elle clique.
Personne n'a commis une erreur extraordinaire. C'est simplement un geste quotidien, effectué des dizaines de fois par semaine dans une entreprise.
Et c'est précisément pour cela qu'une stratégie de cybersécurité ne peut pas reposer uniquement sur la capacité de chaque salarié à reconnaître tous les pièges.
Il faut aussi prévoir ce qui se passe après le clic.
Avant d'afficher un site, l'ordinateur doit généralement trouver son adresse
Lorsqu'un navigateur tente d'accéder à un site, il utilise habituellement le DNS pour résoudre le nom de domaine vers une adresse IP.
C'est une étape discrète.
L'utilisateur ne la voit presque jamais.
Pourtant, elle peut constituer un point de contrôle intéressant.
Si le domaine demandé est connu comme malveillant, un service DNS protecteur peut, selon sa politique, refuser sa résolution ou renvoyer une réponse de blocage.
Le navigateur n'établit alors pas sa connexion habituelle vers cette destination à partir de cette résolution.
Le principe est documenté notamment par le NIST, qui explique que le DNS protecteur peut réduire les communications malveillantes avant leur établissement.
Source : NIST SP 800-81r3 — Secure DNS Deployment Guide
Ce que cela change réellement
Reprenons notre collaboratrice.
Elle clique sur un faux lien de connexion.
Sans filtrage efficace, le navigateur peut accéder au site, qui lui demande de saisir son identifiant et son mot de passe.
Avec un service DNS protecteur correctement configuré, si le domaine est identifié comme dangereux, la tentative peut être bloquée.
L'utilisateur peut alors voir une page ou un message indiquant que la destination n'est pas autorisée.
Il n'a pas eu besoin de reconnaître lui-même la fraude.
C'est une seconde ligne de défense.
Elle ne remplace pas la sensibilisation. Elle réduit la dépendance à un comportement humain parfait.
Pourquoi ce contrôle intéresse particulièrement les PME
Dans une petite entreprise, les usages Internet se multiplient.
Messagerie, fournisseurs, comptabilité, CRM, outils de signature électronique, portails clients et services cloud font désormais partie du quotidien.
Chaque nouveau service génère des liens, des notifications et des invitations à se connecter.
Il devient difficile de demander aux collaborateurs de distinguer sans erreur les domaines légitimes de leurs imitations.
La protection DNS permet d'appliquer certaines politiques de sécurité au niveau de la résolution des noms, plutôt que de dépendre uniquement du navigateur ou d'un antivirus.
La CISA recommande notamment d'envisager les services DNS protecteurs dans sa documentation consacrée à la réduction du risque de ransomware.
Source : CISA — StopRansomware Guide
Attention : le DNS protecteur n'est pas un antivirus universel
C'est un point qu'il faut expliquer clairement.
Un service DNS protecteur ne bloque pas automatiquement toutes les cyberattaques.
Il peut manquer un domaine malveillant inconnu.
Il ne distingue généralement pas deux chemins différents sur un même domaine HTTPS légitime.
Il peut être contourné si certains équipements utilisent un autre résolveur ou des mécanismes DNS chiffrés non maîtrisés.
Et il ne remplace ni les correctifs, ni le MFA, ni la supervision des postes, ni les contrôles applicatifs.
Il faut aussi gérer les faux positifs : un domaine nécessaire à l'activité peut être bloqué par erreur, ce qui impose une procédure de vérification et de déblocage maîtrisée.
Le DNS protecteur est une couche de défense, pas une garantie d'invulnérabilité.
Un autre intérêt : mieux comprendre certaines tentatives de communication
Sur une infrastructure correctement configurée, les événements DNS peuvent également fournir des indices intéressants.
Une machine tente de contacter des domaines inhabituels.
Un poste sollicite à répétition une destination bloquée.
Un comportement différent apparaît après l'ouverture d'une pièce jointe.
Ces informations peuvent aider une équipe de sécurité à prioriser ses vérifications.
Mais un domaine inconnu n'est pas forcément malveillant et une requête DNS ne prouve pas à elle seule qu'une intrusion a eu lieu.
Il faut replacer l'événement dans son contexte : utilisateur, machine, heure, processus, trafic réseau et autres alertes disponibles.
C'est cette mise en contexte qui rend la supervision utile.
Ce que l'entreprise devrait vérifier avant de déployer cette protection
Le premier sujet est de savoir quels DNS les équipements utilisent réellement.
Le deuxième est de vérifier si la protection couvre les collaborateurs en télétravail et les ordinateurs portables hors du bureau.
Le troisième est de définir une politique adaptée aux usages professionnels : quels domaines bloquer, comment traiter les exceptions et qui valide les changements ?
Le quatrième est de prévoir les incidents : comment différencier un domaine bloqué à juste titre d'un problème de résolution DNS qui perturbe la production ?
Enfin, il faut prendre en compte la confidentialité et la durée de conservation des journaux, notamment lorsqu'ils permettent de rattacher des requêtes à des utilisateurs.
La sécurité ne doit pas devenir une collecte disproportionnée d'informations sur les salariés.
Une protection qui gagne à être accompagnée
Pour une PME, le plus compliqué n'est pas toujours d'activer un filtre.
C'est de le maintenir correctement, de comprendre les blocages et de savoir quand intervenir.
Cyberhack propose une protection DNS managée parmi ses services. Sa présentation dans Cyberhack Platform permet aux organisations accompagnées de retrouver ce service dans leur espace client, aux côtés des autres informations de sécurité publiées pour leur environnement.
Cela ne dispense évidemment pas de définir les règles adaptées à l'entreprise.
Mais cela inscrit la protection DNS dans une approche plus large : des contrôles techniques, des informations compréhensibles et un suivi dans le temps.
Conclusion
Une entreprise ne pourra jamais garantir que tous ses salariés reconnaîtront chaque tentative de phishing.
Ce n'est pas un objectif réaliste.
En revanche, elle peut mettre en place plusieurs barrières complémentaires.
La sensibilisation aide à reconnaître les situations suspectes.
Le DNS protecteur peut empêcher certaines connexions dangereuses.
Le MFA limite les conséquences de certains vols de mots de passe.
La supervision permet d'identifier les comportements qui demandent une investigation.
Aucune de ces mesures n'est suffisante seule.
C'est leur complémentarité qui rend la protection plus solide.
Et parfois, une connexion bloquée au bon moment évite bien davantage qu'un simple clic malheureux.
