Les découvertes DNS permettent de scanner des actifs sans requérir d’authentification ou autre configuration particulière. Cependant, elles ne sont pas exhaustives et sont relativement lentes par rapport à une découverte authentifiée.
Si votre parc utilise des zones DNS internes qui vous souhaitez scanner, par exemples celles fournies par un contrôleur de domaine Active Directory, veuillez vous assurer que la source Cyberwatch soit bien configurée pour l’utiliser, ce qui est généralement le cas avec DHCP.
Énumération DNS
L’énumération DNS se base sur un nom de domaine fourni et recherche ses sous-domaines. Elle se base sur deux sources : une liste des sous-domaines les plus courants, et les informations disponibles à travers Certificate Transparency.
L’énumération des sous-domaines courants utilise un dictionnaire, et génère dans l’ordre de 10 000 requêtes UDP aux serveurs DNS, ce qui peut prendre plusieurs minutes, mais généralement moins de 10 minutes. La découverte tentera de résoudre chaque sous-domaine possible, et liste ceux qui ont une adresse IP associée. Par exemple, pour un domaine example.com, la découverte trouvera sans doute www.example.com, smtp.example.com et bien d’autres encore. Cependant, elle ne trouvera pas un sous-domaine propre à une entreprise.
Pour enrichir la liste des sous-domaines tentés, Cyberwatch fournit un service de consultation des données publiées à travers Certificate Transparency chaque fois qu’un certificat TLS est émis. Ce mode de fonctionnement trouvera rapidement les sous-domaines sécurisés, mais ne trouvera pas les sous-domaines non sécurisés ni les domaines sécurisés avec un certificat wildcard.
Par défaut, les deux modes sont actifs, mais il est possible de désactiver l’énumération par dictionnaire depuis la page de configuration de la découverte afin de rendre la découverte beaucoup plus rapide, bien que moins complète.
Pour créer une découverte par énumération DNS :
Aller dans le menu Découvertes, et cliquer sur Ajouter. Dans la partie Noms de domaine, cliquer sur Énumération DNS.
Dans le champ Cible, entrer le FQDN de base. Les noms de domaines par défaut ne sont pas pris en compte, donc un nom de domaine relatif devra être qualifié par l’utilisateur pour fonctionner.
Cliquer sur Confirmer.
Les données seront traitées dans une tâche de fond et les résultats disponibles dans Découvertes dès le traitement terminé.
DNS inverse
Il est conventionnel d’attribuer à chaque adresse IP un nom de domaine qui l’identifie à l’aide d’enregistrements DNS de type PTR. Ils sont consultables par une requête de DNS inverse.
La découverte par DNS inverse parcours une plage d’adresses IP et pour chaque IP effectue une requête de DNS inverse. Toutes les adresses IP ayant un nom de domaine associé seront considérées comme des actifs découverts.
Pour créer une découverte par DNS inverse :
- Aller dans le menu Découvertes, et cliquer sur Ajouter. Dans la partie Plage réseau, cliquer sur DNS inverse.
- Dans le champ Cible, entrer la plage d’adresses IP à scanner, par exemple
10.10.1.0/24. - Cliquer sur Confirmer.
Les données seront traitées dans une tâche de fond et les résultats disponibles dans Découvertes dès le traitement terminé.