Comment le choix des listes de réputation et de blocage affecte les métriques sur l’utilisation malveillante du DNS

Carlos Hernandez Ganan, scientifique en chef chargé de la sécurité, la stabilité et la résilience, équipe de recherche SSR du bureau du directeur de la technologie (OCTO)

Les listes de réputation et de blocage (RBL) sont essentielles pour identifier et mesurer l’utilisation malveillante du système des noms de domaine. Or, sous leur surface se cache un défi majeur : les différentes listes de blocage ont une visibilité limitée, et on constate peu de chevauchement entre elles, ce qui crée des lacunes dans la détection et la mesure des abus (voir OCTO-037). Cette fragmentation a de fortes implications sur la manière dont nous interprétons les métriques et suivons les tendances générales en matière d’utilisation malveillante du DNS.

Les listes de blocage ne concernent pas toutes les mêmes types d’utilisation malveillante. Les listes à code source ouvert, maintenues par des communautés de bénévoles ou des projets publics, reposent sur les signalements des utilisateurs ou sur des flux ouverts. Bien qu’elles soient transparentes et largement accessibles, elles n’incluent pas des cas d’utilisation malveillante qui échappent à l’attention des contributeurs. En revanche, les listes de blocage commerciales, gérées par des fournisseurs de services de sécurité, utilisent des données propriétaires et des techniques avancées d’analyse pour obtenir plus rapidement des informations détaillées sur des attaques émergentes. Cependant, leur visibilité est déterminée par l’infrastructure de collecte de données, les réseaux des clients et leurs partenariats en matière de renseignement, ce qui engendre des lacunes qui leur sont propres.

Ces différences affectent directement les métriques en matière d’utilisation malveillante du DNS. Pour contourner ces limitations, le système de l’ICANN Domain Metrica, agrège des données tirées de différentes RBL afin d’évaluer les taux d’abus dans les différents registres et bureaux d’enregistrement. Mais le choix des RBL peut modifier radicalement le paysage observé. Par exemple, si le classement des abus repose principalement sur des listes à source ouverte, un bureau d’enregistrement ciblé par un hameçonnage sophistiqué - détecté peut-être uniquement par des flux commerciaux - peut donner l’impression d’avoir un profil d’abus plus faible que cela n’est le cas dans la réalité. À l’inverse, un bureau d’enregistrement ayant un grand nombre de domaines associés à des hameçonnages moins sophistiqués et opportunistes peut sembler avoir un problème plus important, même si ces cas impliquent souvent des attaques génériques ou des sites compromis plutôt que des campagnes d’hameçonnage plus ciblées et à fort impact.

Ces écarts sont bien illustrés dans le tableau ci-dessous, qui classe les 10 principaux domaines de premier niveau (TLD) anonymisés par nombre d’abus normalisés à l’aide des données collectées par Domain Metrica de janvier à mai 2025. Les TLD_1 et TLD_2 sont systématiquement en tête de liste dans toutes les sources de données, mais les autres classements divergent fortement. Le TLD_3, par exemple, se classe troisième dans tous les flux et listes commerciales, mais descend à la dixième place selon les listes à source ouverte, qui le montrent comme étant beaucoup moins problématique.

Ces écarts mettent en évidence comment la perception du paysage des abus (et la réputation de certains TLD spécifiques) peut changer radicalement en fonction des listes de blocage utilisées. Notamment, en raison de leur volume plus important et de leur couverture plus large, les listes commerciales ont tendance à éclipser la contribution des listes à source ouverte et dominent souvent le tableau d’ensemble.

Il ne s’agit pas uniquement d’un problème technique. La réputation des bureaux d’enregistrement et des registres, ainsi que l’efficacité des politiques en matière d’utilisation malveillante du DNS, peuvent varier en fonction des listes de blocage prises en considération pour l’évaluation. Un registre peut afficher une baisse significative des incidents d’abus dans un rapport, alors que dans un autre, basé sur des flux différents, aucun changement n’est constaté.

Le problème peut aussi s’expliquer par des RBL qui ont un biais géographique, qui se reflète à son tour dans l’analyse des tendances. Imaginez une forte hausse des domaines malveillants liée à un réseau zombie opérant en Europe de l’Est. Une RBL avec une forte visibilité régionale reflètera ce pic, alors qu’une liste de blocage focalisée sur l’Amérique du Nord n’affichera rien.

En bref, l’exploitation d’un ensemble limité de listes de blocage, en particulier des listes à source ouverte, peut entraîner des lacunes importantes dans le périmètre de suivi des abus du DNS et fausser l’interprétation. Pour les chercheurs, les décideurs politiques et les parties prenantes du secteur la conclusion est claire : une mesure efficace de l’utilisation malveillante du DNS nécessite une approche multi-source, qui combine des RBL à source ouverte et commerciales. Ce n’est qu’en reconnaissant et en corrigeant ces lacunes que nous pourrons avoir une vision plus précise et plus concrète du paysage du DNS, afin que nos mesures et nos réponses reflètent vraiment la réalité.

Avez vous des idées ou des expériences à partager ? Vos retours sont les bienvenus ! N’hésitez pas à nous écrire à [email protected].