Selon les chercheurs en cybersécurité, 66% des malwares sont installés via des pièces jointes malveillantes et 64% des entreprises subissent des attaques liées au phishing.
La plupart des attaques commencent par des e-mails dans lesquels des messages envoyés à un utilisateur ciblé lui demandent de cliquer sur un lien, de télécharger une pièce jointe ou d’effectuer une action telle qu’un virement bancaire.
Plus inquiétant encore, beaucoup d’attaquants se livrent actuellement au spear phishing. Pour ce type d’attaque, les pirates ciblent des personnes ayant accès à des fonctions spécifiques telles que la finance ou l’administration informatique. Une stratégie efficace pour arrêter ces attaques est d’utiliser un filtre de contenu web basé sur le DNS.
Qu’est-ce que le filtrage DNS ?
Pour chaque demande sur Internet, un ensemble spécifique de procédures s’exécute avant qu’un utilisateur puisse visualiser le contenu dans un navigateur. Une des premières étapes consiste à interroger le serveur DNS, lequel est configuré soit comme une valeur statique assignée à la carte réseau du périphérique, soit comme une valeur configurée dynamiquement lorsque le périphérique de l’utilisateur démarre.
Les réseaux informatiques des entreprises ont généralement leurs propres serveurs DNS pour les requêtes internes, puis ils dédient des serveurs DNS externes pour les requêtes web. Au lieu d’obliger les utilisateurs à se souvenir des adresses IP complexes (surtout depuis le déploiement des adresses IPv6), le DNS leur permet de saisir des noms conviviaux dans un navigateur et les requêtes contre les serveurs de noms renvoient l’adresse IP associée.
Plusieurs autres requêtes se produisent entre le handshake client-serveur, mais ce sont les requêtes DNS qui lient le nom de domaine convivial avec l’adresse IP du serveur. L’ancien filtrage de contenu web impliquait l’interception des requêtes et le blocage du contenu du domaine sur la base de politiques définies par les administrateurs informatiques, mais ces méthodes étaient imprécises et les utilisateurs pouvaient éviter ces filtres en utilisant plusieurs méthodes.
Le filtrage DNS implémente le filtrage web pendant le processus de requête. Les administrateurs mettent en place des politiques qui bloquent des adresses IP spécifiques classées comme inappropriées pour un environnement d’entreprise. Toutes les adresses IP bloquées ne sont pas nécessairement malveillantes. Les administrateurs peuvent bloquer les adresses IP auxquelles les utilisateurs ne devraient pas pouvoir accéder pendant les heures d’ouverture et les adresses IP jugées malveillantes peuvent également être bloquées. Avec un blocage de contenu efficace, toutes les requêtes d’accès à des adresses IP malveillantes doivent être enregistrées et l’administrateur doit en être informé.
Si plusieurs utilisateurs tentent d’accéder à la même adresse IP malveillante, des alertes avertissent l’administrateur qu’une campagne de phishing pourrait cibler son organisation.
Filtrage DNS du niveau de la page (Page Level DNS Filtering)
Parce que le filtrage DNS est basé sur la recherche de domaine, toutes les pages d’un domaine risquent donc d’être bloquées. Par exemple, le domaine Medium.com héberge plusieurs types de contenu, de sorte que le blocage du domaine Medium.com filtrerait tout le contenu du domaine.
La solution innovante de filtrage DNS basé dans le cloud peut palier à ce problème, en bloquant uniquement les URL et les pages. Grâce aux filtres les plus récents, les administrateurs peuvent bloquer des pages et leur contenu plutôt que l’adresse IP complète. Les administrateurs disposent ainsi d’une approche plus granulaire du filtrage de contenu web, plutôt que d’établir une liste blanche pour chaque URL que les employés pourraient avoir besoin dans leurs tâches quotidiennes.
Reprenons l’exemple de Medium.com, grâce au filtrage DNS basé dans le cloud, les administrateurs peuvent bloquer certains contenus en fonction des catégories de stratégies, puis autoriser le contenu approprié que les salariés peuvent avoir besoin pour mener à bien leurs attributions.
Cette approche hybride du filtrage donne aux administrateurs un niveau de contrôle plus granulaire sur le contenu. La plupart des attaques sont basées sur les pages plutôt que sur le domaine. Les attaquants peuvent donc utiliser des hôtes connus et cacher des pages dans des contenus inoffensifs et utiles. Ces pages devraient aussi être bloquées de telle sorte que le reste du domaine puissent rester accessible aux employés.
Même avec une approche hybride, les administrateurs informatiques ont toujours la possibilité de bloquer des domaines entiers. Le blocage d’un domaine entier peut s’avérer nécessaire si le même domaine a plusieurs URLs qui pourraient nuire à la sécurité et à la stabilité du réseau.
Les domaines qui hébergent du contenu généré par l’utilisateur pourraient intégrer un contenu malveillant ou de liens de redirection vers un site contrôlé par un attaquant. Grâce à l’approche hybride, les administrateurs peuvent choisir de bloquer l’ensemble du domaine au niveau DNS ou de bloquer uniquement les URL spécifiques contenus dans le nom de domaine.
Quel type de filtrage web peut bloquer les techniques de phishing ?
Les pirates informatiques disposent de nombreuses méthodes pour inciter les utilisateurs à accéder à un site qu’ils contrôlent ou à télécharger une pièce jointe malveillante. Les e-mails contenant des liens simples sont également utilisés pour inciter les utilisateurs à accéder à une page web malveillante. Toute requête web est analysée à l’aide d’une solution de filtrage DNS basé dans le cloud et le contenu jugé inapproprié ou malveillant peut donc être bloqué.
Plus important encore, un bon filtre web peut générer des notifications et des journaux qui permettent à un administrateur d’identifier une attaque possible si la même adresse IP est demandée par plusieurs utilisateurs. Le fait de savoir qu’une campagne de spear-phishing ou une attaque en cours cible une organisation peut aider énormément à éviter les atteintes coûteuses aux données. Lorsqu’ils sont bien informés, les aux administrateurs réseau peuvent bloquer les e-mails malveillants et les pièces jointes qui pourraient télécharger des malwares ou infecter le réseau.
Le filtrage DNS de WebTitan inclut la catégorisation de contenus et la détection d’URL malveillantes. Il propose également des mises à jour en temps réel et automatisées lorsque de nouveaux contenus et sites malveillants sont détectés. WebTitan peut détecter plus de 60 000 nouvelles itérations de programmes malveillants chaque jour.
WebTitan est hautement évolutif. Il est hautement évolutif. Il prend en charge de petits déploiements via des fournisseurs d’accès Internet et des déploiements avec des millions d’utilisateurs, avec des performances de requête en URL exceptionnelles. WebTitan offre également une précision, une couverture et une détection de sites web malveillants à la pointe du marché, et ce, grâce à une API facile à intégrer. Nos catégories web sont rassemblées grâce à des analyses avancées et à la détection en temps réel de 500 millions d’utilisateurs finaux et de plus de 5 milliards de requêtes web par mois, couvrant 99,9 % du web actif.
Pour plus d’informations sur le filtrage DNS de WebTitan, visitez notre page produit. Ou mieux encore, testez WebTitan par vous-même en vous inscrivant pour un essai gratuit. Contactez-nous pour de plus amples renseignements ou pour prenez rendez-vous avec l’un de nos spécialistes pour évaluer par vous-mêmes l’efficacité de notre produit.