Filtrage DNS en entreprise : bloquer phishing et malwares avant la connexion

La réponse courte : le filtrage DNS bloque un domaine dangereux au moment où l’ordinateur demande son adresse, avant même que la connexion ne s’établisse. Un clic sur un lien de phishing, un logiciel malveillant qui contacte son serveur de commande, un faux site de banque : tout passe d’abord par une requête DNS. La filtrer protège d’un coup tous les appareils du réseau, y compris les imprimantes, caméras et téléphones IP sur lesquels aucun antivirus ne s’installe. Mais un filtrage DNS mal déployé se contourne facilement : il faut imposer le résolveur de l’entreprise, maîtriser le DNS chiffré des navigateurs et couvrir les portables hors du bureau.

Chez ALLSAFE SOLUTIONS, nous mettons en place ce filtrage chez les entreprises de Casablanca et de tout le Maroc, le plus souvent avec les pare-feu de nos partenaires Fortinet et WatchGuard, et avec Microsoft Defender sur les postes. Les capacités décrites ici proviennent de la documentation officielle des éditeurs.

Pourquoi filtrer le DNS

Le DNS traduit un nom de domaine en adresse IP. Chaque site visité, chaque mise à jour, chaque logiciel qui « appelle la maison » commence par une requête DNS. C’est donc un point de passage obligé, et un excellent endroit pour bloquer.

Dans leur fiche commune sur le « Protective DNS » publiée en mars 2021, la NSA et l’agence américaine CISA expliquent qu’un DNS protecteur réduit fortement l’efficacité des campagnes de rançongiciels, de phishing, de botnets et de logiciels malveillants, en bloquant les domaines connus comme malveillants. Elles soulignent aussi un second intérêt, souvent négligé : les journaux DNS servent à la réponse aux incidents et à la recherche de menaces.

Concrètement, le filtrage DNS bloque :

• les domaines de phishing vers lesquels pointent les faux e-mails, voir notre article sur les arnaques de phishing qui visent les PME au Maroc ;
• les serveurs de commande et contrôle (C&C) qu’un poste infecté contacte pour recevoir des ordres ou exfiltrer des données, une étape clé de la plupart des attaques par rançongiciel ;
• les domaines récemment créés ou de mauvaise réputation, souvent utilisés quelques jours seulement par les attaquants ;
• les catégories interdites par la charte informatique : jeux d’argent, contenus pour adultes, téléchargement illégal, ou réseaux sociaux sur certains postes.

Ce que le filtrage DNS ne fait pas

Le filtrage DNS travaille au niveau du nom de domaine. Il ne voit ni la page, ni le fichier téléchargé, ni le contenu chiffré. Il a donc des limites qu’il faut connaître :

Le filtrage DNS…	Le filtrage DNS ne…
Bloque un domaine connu comme malveillant pour tous les appareils	Bloque pas une page malveillante hébergée sur un domaine légitime (stockage cloud, site compromis)
Protège les appareils sans agent (imprimantes, caméras, téléphones IP)	Analyse pas les fichiers téléchargés ni les pièces jointes
Est léger et ne ralentit pas la navigation	Empêche pas une connexion directe à une adresse IP
Fournit des journaux utiles en cas d’incident	Fonctionne pas si l’appareil utilise un autre résolveur

C’est pourquoi il s’ajoute à l’EDR sur les postes, au filtrage web du pare-feu et à la protection de la messagerie, sans les remplacer.

Les trois façons de déployer un filtrage DNS

1. Sur le pare-feu de l’entreprise

C’est la solution la plus simple quand l’entreprise dispose déjà d’un pare-feu de nouvelle génération sous abonnement.

FortiGate (Fortinet). Le profil « DNS filter » de FortiOS regroupe plusieurs protections : filtrage par catégories FortiGuard, blocage des domaines de commande et contrôle de botnets (liste mise à jour en continu par FortiGuard, complétée par une base d’adresses IP de botnets), recherche sécurisée (SafeSearch), liste statique de domaines autorisés ou bloqués et listes de blocage externes. Les requêtes sont classées par interrogation du service DNS sécurisé de FortiGuard. Certaines fonctions demandent l’abonnement FortiGuard Web Filtering. Point important : depuis FortiOS 7.0, une règle en mode d’inspection proxy permet aussi d’inspecter le DNS sur TLS (DoT) et le DNS sur HTTPS (DoH). Nous détaillons l’activation des profils de sécurité dans nos 10 réglages de sécurité FortiGate.

WatchGuard Firebox avec DNSWatch. DNSWatch est un service sur abonnement : une fois la licence ajoutée à la clé de fonctionnalités du Firebox, celui-ci utilise DNSWatch comme résolveur pour les réseaux protégés. Les domaines bloqués et autorisés se gèrent dans WatchGuard Cloud. Particularité utile : un utilisateur bloqué est redirigé vers une page qui rappelle les bons réflexes face au phishing, ce qui transforme chaque blocage en moment de sensibilisation. Voir notre guide WatchGuard Firebox pour les PME.

Limite : le pare-feu ne protège que les appareils qui passent par lui. Un portable en télétravail, sur le Wi-Fi d’un hôtel ou en 4G, sort de son périmètre.

2. Sur les postes de travail

Le filtrage suit alors l’appareil partout.

Microsoft Defender for Business et Microsoft 365 Business Premium. Le filtrage de contenu web de Microsoft Defender bloque des catégories de sites et les indicateurs personnalisés (domaines ou adresses à bloquer). Il repose sur SmartScreen pour Microsoft Edge et sur la protection réseau pour les autres navigateurs (Chrome, Firefox, Brave, Opera). Microsoft précise que la protection réseau doit être activée en mode blocage pour que le filtrage fonctionne dans tous les navigateurs. Avec Defender for Business, la stratégie de filtrage s’applique à tous les utilisateurs. Notre article sur le déploiement de Microsoft Defender for Business détaille la mise en route.

WatchGuard DNSWatchGO. WatchGuard le présente comme un filtrage au niveau DNS qui fonctionne hors du réseau de l’entreprise, sans VPN : les requêtes du poste sont comparées à une liste de domaines malveillants et les requêtes dangereuses sont bloquées.

FortiClient. Pour les entreprises équipées de FortiGate, l’agent FortiClient prolonge les politiques de sécurité sur les postes nomades, avec ou sans tunnel. Voir FortiClient, VPN et ZTNA pour le télétravail.

3. Dans le cloud

Des services de résolveurs filtrants, comme Cloudflare Gateway (au sein de Cloudflare One), filtrent le trafic DNS et web des postes et des sites sans équipement local. Nous présentons cette plateforme dans notre article sur Cloudflare pour les entreprises. Cette approche convient bien aux entreprises multisites ou très nomades, à condition de vérifier où sont conservés les journaux, un point à rapprocher de vos obligations au titre de la loi 09-08.

Quelle approche choisir ?

Situation	Approche recommandée
Un site, pare-feu FortiGate ou WatchGuard déjà sous abonnement	Activer le filtrage DNS du pare-feu
Beaucoup de portables, télétravail fréquent	Filtrage sur les postes (Defender, DNSWatchGO, FortiClient) en plus du pare-feu
Plusieurs sites sans pare-feu homogène	Résolveur filtrant dans le cloud
Microsoft 365 Business Premium déjà en place	Activer le filtrage web de Defender, puis compléter au pare-feu

Dans la plupart des PME, nous combinons deux couches : le pare-feu pour tout ce qui est branché au bureau, y compris les appareils sans agent, et le poste pour les portables qui sortent.

Le vrai sujet : empêcher le contournement

Un filtrage DNS n’a de valeur que si les appareils l’utilisent réellement. Trois contournements sont fréquents.

Les résolveurs publics configurés à la main

Un utilisateur, ou un logiciel, peut remplacer le DNS de l’entreprise par un résolveur public. La parade se fait sur le pare-feu : n’autoriser le DNS sortant (port 53) que depuis le résolveur interne ou le pare-feu lui-même, et bloquer le reste. Sur FortiGate, on peut aussi intercepter et filtrer ces requêtes au passage.

Le DNS chiffré des navigateurs (DoH)

Chrome, Edge et Firefox savent envoyer leurs requêtes DNS en HTTPS vers un résolveur externe, ce qui échappe au filtrage classique. Les moyens de le maîtriser sont documentés par les éditeurs :

• Chrome et Edge : la stratégie DnsOverHttpsMode accepte les valeurs off, automatic ou secure. En entreprise, on la règle sur off, ou on impose un résolveur DoH interne, par GPO ou par Microsoft Intune.
• Firefox : Mozilla prévoit un « domaine canari », use-application-dns.net. Si le résolveur de l’entreprise répond qu’il n’existe pas, Firefox désactive le DoH activé par défaut. Ce signal ne s’applique pas à un utilisateur qui a activé le DoH lui-même : les stratégies d’entreprise de Firefox restent la méthode la plus sûre.
• Sur le pare-feu : bloquer les catégories de résolveurs DoH publics ou inspecter le DoH en mode proxy lorsque l’équipement le permet.

Les VPN personnels et proxys

Une application de VPN grand public fait sortir tout le trafic, DNS compris, hors de l’entreprise. On la bloque par le contrôle applicatif du pare-feu et par l’interdiction d’installer des logiciels sans droits d’administrateur.

Déployer un filtrage DNS en six étapes

1. Inventorier les résolveurs : qui distribue le DNS (DHCP, Active Directory, box opérateur) et quels appareils ont un DNS fixe.
2. Centraliser : les postes utilisent le contrôleur de domaine ou le pare-feu comme résolveur, qui lui-même interroge le service filtrant. Les noms internes de l’Active Directory doivent continuer à se résoudre.
3. Activer en mode journalisation pendant quelques jours : on observe ce qui serait bloqué et on repère les faux positifs (outils métier, logiciels hébergés, banques).
4. Passer en blocage : menaces de sécurité d’abord (phishing, logiciels malveillants, C&C, domaines récents), puis catégories prévues par la charte informatique.
5. Fermer les contournements : DNS sortant limité au résolveur interne, DoH maîtrisé, VPN personnels bloqués, filtrage sur les postes nomades.
6. Exploiter les journaux : un poste qui tente sans cesse de joindre un domaine de commande est un poste infecté. Ces alertes doivent remonter à la supervision, idéalement dans un SIEM.

Les erreurs les plus fréquentes

• Activer le filtrage sur le pare-feu alors que les postes utilisent le DNS de la box opérateur.
• Bloquer des catégories entières sans phase d’observation, puis tout désactiver face aux plaintes.
• Oublier les portables, qui passent pourtant une bonne partie de leur temps hors du bureau.
• Laisser le DoH des navigateurs actif, ce qui rend le filtrage invisible pour une partie du trafic.
• Ne jamais consulter les journaux, alors qu’ils signalent souvent une infection avant l’antivirus.
• Tester une règle sans penser au cache DNS : sur FortiGate, Fortinet rappelle que le cache, actif par défaut, peut répondre avec un ancien résultat.

Comment nous accompagnons les entreprises

Nous commençons par l’audit initial offert : chaîne de résolution DNS, abonnements de sécurité déjà disponibles sur votre pare-feu ou dans Microsoft 365, appareils non couverts et possibilités de contournement. Nous activons ensuite le filtrage en mode observation, ajustons les exceptions avec vos équipes, puis passons en blocage et fermons les contournements, en lien avec votre VPN et vos accès distants.

En tant que partenaire Fortinet et partenaire WatchGuard, nous fournissons les licences nécessaires, avec ou sans installation. Dans le cadre de notre offre de cybersécurité des entreprises au Maroc, les journaux DNS et les alertes sont suivis par la supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.