Filtrage du contenu web et puits DNS

La navigation sur le Web est l’un des vecteurs d’infection les plus courants : les téléchargements malveillants, les exploits déclenchés à la consultation d’une page et les pages d’hameçonnage reposent tous sur la visite d’URL dangereuses. Le filtrage du contenu Web contrôle les sites auxquels les utilisateurs et les appareils peuvent accéder, en bloquant les catégories de contenu malveillant ou contraire aux règles avant l’établissement de la connexion. Le filtrage peut être appliqué au niveau du proxy réseau, du DNS ou directement sur le terminal. Lorsqu’il est correctement configuré, il bloque les téléchargements de logiciels malveillants, les rappels vers les serveurs de commande et contrôle (C2) ainsi que l’exfiltration de données, même lorsque les autres défenses échouent.

Un proxy Web se place entre les clients et Internet. Lorsqu’un utilisateur consulte une URL, la demande est envoyée au proxy, qui vérifie l’URL dans une base de données d’URL catégorisées (gérée par des fournisseurs tels que Webroot, Zscaler et Palo Alto). Si la catégorie est bloquée (logiciels malveillants, jeux d’argent, contenu pour adultes), le proxy renvoie une page de blocage. Si l’accès est autorisé, le proxy récupère le contenu et le renvoie à l’utilisateur. Les proxys explicites nécessitent une configuration du navigateur ; les proxys transparents interceptent le trafic sans configuration du client. Les passerelles Web sécurisées (SWG) basées dans le Cloud étendent le filtrage aux utilisateurs distants sans faire transiter le trafic en boucle par le réseau de l’entreprise.

Le filtrage fondé sur le DNS bloque les domaines malveillants au niveau de la résolution DNS, avant l’établissement de toute connexion TCP. Lorsqu’un appareil demande la résolution d’un domaine malveillant connu, le résolveur DNS renvoie une adresse IP sinkhole (ou NXDOMAIN) au lieu de l’adresse réelle, empêchant complètement la connexion. Des services tels que Cisco Umbrella, Cloudflare Gateway et Quad9 fonctionnent comme des résolveurs DNS Cloud qui appliquent en temps réel des renseignements sur les menaces à des milliards de requêtes. Le filtrage DNS est particulièrement efficace pour bloquer les domaines de rappel C2 et les domaines de distribution de logiciels malveillants.

Un DNS sinkhole est un serveur qui renvoie une adresse IP fictive et contrôlée pour les domaines bloqués. Lorsqu’un logiciel malveillant présent sur un terminal tente de résoudre son domaine C2, le sinkhole renvoie l’adresse IP du serveur sinkhole. La tentative de connexion du logiciel malveillant atteint alors le serveur sinkhole, qui journalise la connexion. Cela permet de déterminer : quels hôtes internes sont infectés (ils effectuent des requêtes C2), à quelle fréquence ils tentent des rappels et quelle famille de logiciels malveillants est active (d’après le domaine C2). Les sinkholes transforment le trafic malveillant bloqué en renseignements sur les menaces : ils ne se contentent pas de bloquer, ils identifient les hôtes infectés à traiter.

Les bases de données de filtrage des URL classent des milliards d’URL dans des catégories : Malware, Phishing, Botnet C2, Anonymizers/VPN, contenu pour adultes, jeux d’argent, réseaux sociaux, Storage Cloud, Media en streaming, News et des centaines d’autres. Les administrateurs configurent des règles de blocage (toujours refuser), des règles d’autorisation (toujours autoriser) et des règles d’avertissement (l’utilisateur voit un avertissement et doit cliquer pour continuer). La catégorisation des URL est mise à jour en temps réel par les fournisseurs ; les nouveaux domaines malveillants sont généralement ajoutés quelques minutes après leur détection. La qualité de la base de données de catégorisation détermine directement l’efficacité du filtrage.

Comme la majeure partie du trafic Web est en HTTPS, les proxys de filtrage du contenu doivent effectuer une inspection SSL/TLS (également appelée interception SSL ou inspection de type intermédiaire) pour voir à l’intérieur des sessions chiffrées. Le proxy met fin à la session TLS du client, inspecte le contenu, puis le chiffre à nouveau à destination du serveur. Un certificat CA d’entreprise est déployé sur tous les terminaux administrés via MDM, ce qui permet aux clients de faire confiance aux certificats resignés par le proxy sans afficher d’avertissement du navigateur. Les catégories à exclure de l’inspection sont notamment les services bancaires, les portails Healthcare et les sites de recherche juridique, en raison des problèmes de confidentialité et des contraintes réglementaires.

Le DNS over HTTPS (DoH) constitue un défi majeur pour le filtrage fondé sur le DNS. Des navigateurs comme Chrome et Firefox prennent en charge le DoH et envoient les requêtes DNS chiffrées à des résolveurs comme 1.1.1.1 ou 8.8.8.8, plutôt qu’au résolveur récursif local. Cela contourne le sinkhole DNS et les contrôles de filtrage, car les requêtes n’atteignent jamais le serveur DNS de l’entreprise. Mesures d’atténuation en entreprise : désactiver le DoH via la Group Policy, bloquer les adresses IP des résolveurs DoH au niveau du pare-feu ou rediriger tout le trafic des ports 443/853 vers le résolveur d’entreprise compatible avec le DoH à l’aide d’un proxy transparent.

Les systèmes de filtrage du contenu ne valent que par la qualité de leurs renseignements sur les menaces. Les plateformes modernes de filtrage utilisent plusieurs flux de renseignements : des flux commerciaux (FireEye, Recorded Future, ThreatConnect) contenant des IOC malveillants sélectionnés ; des flux Open Source (AlienVault OTX, abuse.ch, Emerging Threats) ; et des flux organisationnels personnalisés issus d’incidents passés. Les IOC provenant de ces flux — domaines malveillants, adresses IP, URL et empreintes de fichiers — sont automatiquement intégrés aux règles de filtrage quelques minutes après leur détection. Ils offrent ainsi une protection quasi en temps réel contre les menaces nouvellement découvertes, sans attendre les mises à jour des bases de données des fournisseurs.

Le filtrage Web ne se limite pas au blocage de sites entiers. L’application de la recherche sécurisée pour les moteurs de recherche (Google, Bing) ajoute des paramètres de recherche sécurisée à toutes les requêtes et filtre les résultats explicites sans bloquer complètement le moteur de recherche. Le mode restreint de YouTube peut être imposé par remappage DNS CNAME. Les réseaux sociaux peuvent être autorisés à des fins professionnelles tout en bloquant certaines fonctions des applications de réseaux sociaux (téléversement/téléchargement) grâce au filtrage au niveau applicatif du proxy. Ces contrôles précis permettent aux organisations de concilier l’usage professionnel et l’application des règles, sans décisions binaires d’autorisation ou de blocage.

Le filtrage Web génère une télémétrie riche qui alimente les opérations de sécurité. Rapports à surveiller : détections de la catégorie des logiciels malveillants par utilisateur et par appareil (ce qui peut indiquer une compromission), tentatives de rappel C2 (qui nécessitent une investigation immédiate), tentatives de contournement des règles (habitudes d’utilisation d’Anonymizers/VPN) et risque d’exfiltration de données (téléversements volumineux vers un Storage Cloud personnel). Les alertes correspondant à des détections de catégories malveillantes à haut niveau de confiance doivent être intégrées à SIEM et aux systèmes de gestion des tickets afin de déclencher des processus d’investigation automatisés. Des rapports réguliers à la direction montrent le volume de menaces bloquées au niveau Web.

Le filtrage Web peut être appliqué au niveau réseau (proxy, résolveur DNS) ou au niveau du terminal (agent installé sur l’appareil). Le filtrage réseau protège tous les appareils sans installation individuelle, mais devient inopérant lorsque les utilisateurs sont hors VPN. Les agents de terminal étendent le filtrage aux utilisateurs distants en exécutant le filtre localement sur l’appareil et en envoyant la télémétrie au Cloud pour les mises à jour des règles. Les modèles hybrides combinent les deux : filtrage réseau pour le trafic sur site et agents de terminal pour les travailleurs distants. Le filtrage DNS dans le Cloud (Cisco Umbrella) offre une couverture presque universelle en faisant suivre l’appareil par le résolveur d’entreprise partout où il se déplace.

Vérifiez votre compréhension des notions de CompTIA Security+ (SY0-701) abordées dans cette leçon.

Dans cette leçon, vous avez appris que les proxys de filtrage des URL vérifient les requêtes Web dans des bases de données catégorisées et bloquent les sites malveillants ou contraires aux règles, que les DNS sinkholes renvoient de fausses adresses IP pour les domaines malveillants connus et identifient les hôtes infectés grâce aux tentatives de rappel journalisées, et que le contournement du DoH constitue une menace importante pour le filtrage fondé sur le DNS, à atténuer au moyen de la Group Policy, de règles de pare-feu ou d’un proxy transparent. Dans la suite, nous étudierons l’inspection SSL/TLS et les attaques de type intermédiaire dans le navigateur.