DNS passif.

Le DNS passif (pDNS) est construit par des capteurs placés juste au-dessus des résolveurs récursifs, qui enregistrent les réponses reçues par le résolveur sans jamais interroger eux-mêmes les serveurs autoritatifs. La technique a été introduite par Florian Weimer dans son article de 2005 Passive DNS Replication, présenté à la conférence FIRST ; son système journalisait les réponses du résolveur et les répliquait dans une base de données centrale interrogeable. Les capteurs ne captent généralement que le trafic inter-serveurs (défauts de cache) au-dessus du résolveur, évitant ainsi d'enregistrer les requêtes des utilisateurs finaux.

Les jeux de données de fournisseurs comme Farsight DNSDB (désormais chez DomainTools), VirusTotal, SecurityTrails ou CIRCL permettent de pivoter d'un domaine vers ses IP historiques, ses domaines voisins, ses serveurs de noms et ses dates de première/dernière observation. Beaucoup exposent les enregistrements au Common Output Format de l'IETF (COF, draft-dulaunoy-dnsop-passive-dns-cof) afin que les résultats soient interchangeables entre fournisseurs. C'est une ressource clé pour le threat hunting, la cartographie d'infrastructures malveillantes, les takedowns et le suivi du fast-flux et des algorithmes de génération de domaines — par exemple confirmer qu'un domaine de phishing a résolu pour la première fois quelques heures avant une campagne. Comme le pDNS n'enregistre que ce qui a réellement été observé, il complète WHOIS, la transparence des certificats et le scan actif, sans intrusion pour les opérateurs des domaines.

flowchart LR
  C[Clients] --> R[Résolveur récursif]
  R -->|requêtes en défaut de cache| AUTH[Serveurs autoritatifs]
  S[Capteur pDNS] -. observe les réponses .-> R
  S --> DB[(Base de données pDNS)]
  AN[Analyste] -->|pivoter par domaine / IP| DB
  DB -->|résolutions historiques| AN