Le filtrage DNS : sécuriser le trafic web des équipements non-maîtrisés

En janvier 2019, le CESIN publiait son baromètre de la cybersécurité des entreprises qui précisait que 80 % des entreprises avaient subi une cyberattaque au cours des 12 derniers mois. Les cas se multiplient et même les grandes entreprises, réputées ultra-sécurisées, ne sont pas à l’abri comme le montre la récente attaque d’Airbus qui a confirmé un « accès non autorisé » au sein de ses réseaux informatiques ayant permis aux pirates d’accéder à des coordonnées professionnelles et identifiants d’employés.

Renforcer l’efficacité de la cybersécurité est une priorité stratégique pour la DSI

Cette priorité est également renforcée par la transformation digitale qu’opèrent ces mêmes DSI puisqu’elle favorise l’émergence de nouveaux risques avec la généralisation du Cloud, des applications SaaS et surtout de l’interconnectivité entre les systèmes informatiques internes et ceux externes. La Directive sur les Services de Paiement (DSP2) applicable depuis septembre 2019 en est d’ailleurs un parfait exemple dans le secteur bancaire.

Il est donc essentiel de construire et maintenir une chaîne de sécurité web complète dans l’entreprise, protégeant efficacement les utilisateurs, le système d’information et toutes les ressources informatiques qui le composent, des postes de travail internes ou nomades, aux objets connectés. Malgré tout, les DSI et RSSI doivent composer avec des contraintes budgétaires pas toujours en phase avec la sophistication croissante des malwares utilisés et la recrudescence des tentatives d’attaques.

Les budgets pèsent évidemment dans le débat : il faut faire autant, sinon mieux, avec moins. Lorsque la question de l’évolution des équipements se pose, il arrive qu’on envisage par commodité de remplacer le Proxy autonome par les fonctions de filtrage intégrées dans l’UTM et le Firewall. Cela paraît à priori plus économique, plus simple à mettre en œuvre et à maintenir… mais est-ce que faire reposer la protection du système d’information sur une seule solution est vraiment une bonne idée ?

On pourrait d’ailleurs poser la question différemment en se demandant s’il est vraiment raisonnable de mettre tous ses œufs dans le même panier en matière de cybersécurité ? Ce n’est en tout cas pas dans les recommandations de l’ANSSI qui préconise plutôt de décentraliser les différents traitements liés à la cybersécurité sur plusieurs machines.

UTM VS PROXY : un débat qui ne supporte pas la question des performances

L’aspect performance avec l’augmentation du trafic internet en HTTPS devrait également peser dans le débat. Le boitier UTM a de plus en plus de traitements à opérer et si l’on y ajoute le déchiffrement SSL-TLS, cela aggraverait sa consommation de ressources au point de le ralentir ce qui pourrait alors affecter sa fonction principale : le Firewall. D’ailleurs, la recrudescence des attaques DDOS ces derniers mois peut vite le pénaliser et le reste des opérations qu’il devrait gérer serait encore plus dégradé. L’évolutivité de l’UTM est donc parfois rapidement limitée alors que le Proxy autonome Olfeo peut être installé en virtualisation ce qui permet d’augmenter facilement sa capacité de traitement et ce, sans surcoût de licence pour le client puisque le tarif est calculé à l’utilisateur et non pas en appliances…

Le proxy autonome est donc un véritable allié du Firewall : en prenant en charge le filtrage web, le déchiffrement SSL-TLS voire le filtrage DNS, il vient en renforcer l’efficacité. Avec une architecture de sécurité reposant à la fois sur un Firewall et un Proxy autonome fonctionnant en totale synergie, on répartit mieux les tâches et les risques face aux cybermenaces.

Découvrez les conseils de Damien Billy, consultant avant-vente chez Olfeo, pour renforcer votre chaîne de cybersécurité grâce à votre UTM et un Proxy autonome :

La base de données d’URLs au cœur du filtrage DNS

L’efficacité du filtrage DNS sera étroitement liée à la qualité de la base d’URL qui sera utilisée. Le DNS est un protocole évolutif qui peut absorber des dizaines de milliers de requêtes quotidiennement, il faut donc lui appliquer les mêmes règles de filtrage que pour le trafic internet classique afin d’écarter instantanément toute menace et/ou tout risque de surf inapproprié.

A titre d’exemple, la base d’URL Olfeo, mise à jour depuis 20 ans par une équipe dédiée, fait alors toute la différence : 99% du web légitime est connu; les catégories légales de surf autorisées en France sont maîtrisées et le trafic DNS est bloqué en temps réel.

Quels cas d’usage pour le filtrage DNS ?

Tablettes d’école

De nombreuses écoles distribuent à leurs élèves des équipements type tablettes pour aider à l’apprentissage à travers des outils numériques. Ces équipements doivent contenir bien entendu des systèmes de filtrage afin d’empêcher les jeunes élèves de consulter du contenu inapproprié, illégal ou dangereux pour l’intégrité de l’équipement.

Devant le grand nombre de ces équipements, il est difficile de déployer et maintenir des systèmes de filtrage à base d’agent et proxy sur ces flottes, surtout en situation de nomadisme – les élèves ramènent les tablettes ou PCs chez eux.

Le filtrage DNS, ne nécessitant pas d’agent, est la solution idéale. Facile à déployer, configurer et maintenir pour les écoles ou mairies, ne nécessitant pas d’agent en local sur les machines, le filtrage DNS permet de protéger efficacement et facilement la navigation web des élèves.

Invités sur les réseaux des entreprises / BYOD

Les entreprises mettent à disposition de leurs invités (visiteurs, consultants, prestataires) leur réseau internet (wifi notamment) pour accéder au web. N’ayant aucun contrôle et donc aucune possibilité d’installer des agents de filtrage web, les équipements des visiteurs peuvent comporter un risque important.

Le filtrage DNS permet de sécuriser ces terminaux sans avoir besoin d’avoir la main sur les machines. En les faisant connecter à internet à travers un portail wifi captif par exemple, il est possible, de filtrer leurs requêtes DNS afin de sécuriser leur trafic et appliquer la charte internet des entreprises.

Équipements métier communicants – Internet des Objets

Avec l’avènement de l’internet des objets (IoT), des centaines de millions d’appareils se retrouvent connectés à internet avec une faible cyber-protection et une exposition aux attaques élevées. Caméras, thermostats, capteurs de parking etc. sont autant d’équipements avec hardwares simples et limités – pour des raisons de consommation d’énergie – et ne peuvent pas bénéficier de la protection d’un agent de filtrage tournant dessus.

Rediriger leur trafic web à travers une solution de filtrage DNS est une solution efficace, qui protège les équipements IoT sans avoir à installer un agent et à superviser une flotte importante de machines.

Conclusion

Le filtrage DNS est une solution efficace pour sécuriser simplement le trafic web des équipements non-maitrisés tel que les tablettes, BYOD ou IoT. Utilisé de concert avec du filtrage d’URLs, il permet de protéger l’ensemble des actifs IT des organisations et limite les risques d’exposition à des domaines malicieux pouvant présenter un risque de sécurité.

Pour en savoir plus sur l’offre Filtrage DNS d’Olfeo, cliquez ici pour consulter notre page dédiée.