# DNS sinkholing avec BIND9 RPZ : bloquer les domaines malveillants dès la résolution

- Link: https://dpioch.aristeecampus.org/veille/dns-sinkholing-avec-bind9-rpz-bloquer-les-domaines-malveillants-des-la-resolution/
- Published: 2025-11-18T09:00:00+01:00
- Author: Admin

[⌊Capture réelle de la page source : Documentation BIND 9 (ISC)⌉⌊Capture réelle 
de la page source : Documentation BIND 9 (ISC)⌉[

Page du BIND 9 Administrator Reference Manual listant les sections de la documentation.
Capture du 7 octobre 2026. [Consulter la source](https://bind9.readthedocs.io/)

## Contexte

La quasi-totalité des connexions commence par une requête DNS. Bloquer un domaine
malveillant à la résolution peut empêcher la connexion qui dépend de cette requête
DNS.

## Analyse

Les Response Policy Zones (RPZ) permettent à un résolveur d’intercepter les requêtes
vers des domaines listés et de répondre NXDOMAIN ou une IP de « sinkhole ». Alimentées
par des flux de threat intelligence (URLhaus et ThreatFox d’abuse.ch, listes Spamhaus),
elles se mettent à jour automatiquement par transfert de zone.

    ```
    // named.conf.options
    response-policy { zone "rpz.local"; };

    // rpz.local — exemple d'entrée
    malware-exemple.com  CNAME .   ; renvoie NXDOMAIN
    ```

## À retenir

 * Le blocage à la résolution est la couche la plus précoce et la moins coûteuse.
 * L’efficacité dépend de la fraîcheur des flux : automatiser la mise à jour.
 * Journaliser les hits RPZ : chaque blocage est un indicateur de compromission 
   potentiel à investiguer.

## Application dans mon lab

Le serveur BIND9 du lab SOC GSB applique une zone RPZ ; les journaux de blocage 
sont envoyés au SIEM pour corrélation.