Leçons du module (3/3)
Filtres DNS, sinkhole et RPZ
Filtres DNS, sinkhole et RPZ
Un pare-feu DNS peut appliquer des règles : bloquer des domaines malveillants connus, réécrire une réponse ou diriger un client vers un sinkhole contrôlé. Response Policy Zones (RPZ) est un format et une méthode utilisés par certains résolveurs pour distribuer des règles. Ce n’est pas une propriété du protocole DNS et cela ne remplace pas la sécurité des terminaux ou les pare-feu réseau.
Les flux d’indicateurs peuvent être erronés ou périmés. Définissez qui approuve une règle, comment gérer les faux positifs, sa durée, les exceptions et son annulation. Journalisez le motif et rendez-le visible aux opérateurs.
Pour un domaine de phishing confirmé, une règle peut renvoyer NXDOMAIN ou conduire à un sinkhole interne. Ne dirigez pas les utilisateurs vers une page imitant le site bloqué. Évaluez l’effet sur DNSSEC : une réécriture locale peut modifier les garanties de validation et doit être documentée dans le résolveur.
Vérifiez votre compréhension
Choisissez la meilleure réponse. Les exemples utilisent des noms pédagogiques et n’envoient aucune requête réelle.
Qu’est-ce qui rend un filtre DNS gérable ?