Les dossiers exacts WHOIS sont plus qu'une exigence administrative. Ils constituent un élément essentiel de la protection de votre réseau, du maintien du contrôle de vos ressources Internet et de l'assurance que d'autres organisations peuvent contacter les bonnes personnes en cas d'incident.
Lorsque les informations WHOIS deviennent obsolètes, incomplètes ou incohérentes, votre organisation peut faire face à une réponse d'incident retardée, à une vérification de propriété défaillante, à des problèmes de transfert de ressources et même à un risque accru de détournement d'adresses IP.
Pour les entreprises qui gèrent les adresses IPv4, les allocations IPv6 ou les numéros de système autonomes, l'examen régulier des enregistrements WHOIS doit être considéré comme une pratique de sécurité réseau de base.
Que sont les enregistrements WHOIS?
WHOIS est un système d'enregistrement qui fournit des informations sur les ressources Internet, y compris:
- Blocs d'adresse IP
- Numéros de système autonomes
- Noms de domaine
- Détenteurs de ressources
- Contacts administratifs
- Contacts techniques
- Contacts pour abus
- Détails de l'inscription et de la répartition
Les registres régionaux de l'Internet tiennent des bases de données d'enregistrement pour les ressources de numéros Internet dans leurs régions de service respectives.
Ces registres comprennent :
- ARIN pour l'Amérique du Nord et certaines parties des Caraïbes
- RIPE NCC pour l'Europe, le Moyen-Orient et certaines parties de l'Asie centrale
- APNIC pour la région Asie-Pacifique
- LACNIC pour l'Amérique latine et certaines parties des Caraïbes
- AFRINIC pour l'Afrique
Les exploitants de réseaux, les équipes de cybersécurité, les organismes d'application de la loi, les fournisseurs d'hébergement et d'autres organisations peuvent utiliser les informations WHOIS pour identifier la partie responsable d'une adresse ou d'une ressource réseau IP.
Pourquoi l'information précise WHOIS compte-t-elle?
Les dossiers WHOIS aident à établir qui est responsable de la gestion d'une ressource réseau.
Lorsque l'information est exacte, d'autres parties peuvent communiquer rapidement avec votre organisation au sujet de problèmes d'acheminement, de rapports d'abus, d'incidents de sécurité, de demandes de transfert ou de problèmes opérationnels.
Lorsque l'information est périmée, ces communications ne peuvent jamais atteindre l'équipe appropriée.
Par exemple, un enregistrement WHOIS peut toujours contenir :
- Une adresse électronique appartenant à un ancien employé
- Un numéro de téléphone déconnecté
- Un nom d'entreprise dépassé
- Une ancienne adresse de bureau
- Une boîte aux lettres d'abus inactive
- Coordonnées techniques incorrectes
- Informations provenant d'une fusion ou d'une acquisition antérieure
Ces problèmes administratifs apparemment mineurs peuvent entraîner d'importants risques opérationnels et sécuritaires.
1. Les alertes de sécurité peuvent atteindre la mauvaise personne
Lorsqu'un autre réseau détecte un trafic suspect provenant de vos adresses IP, il peut utiliser votre enregistrement WHOIS pour trouver votre abus ou contact technique.
Si cette information est périmée, l'alerte peut être envoyée à une boîte de réception non surveillée ou à un ancien employé.
Par conséquent, votre équipe peut ne pas apprendre l'incident avant :
- Vos adresses IP sont ajoutées aux listes de blocs
- Les clients signalent les interruptions de service
- Les fournisseurs en amont suspendent la connectivité
- Coordonnées de votre organisation pour l'application de la loi
- Votre réseau développe une réputation négative
La communication retardée permet de prolonger les incidents de sécurité et augmente les dommages potentiels.
Le maintien d'un contact d'abus surveillé permet de s'assurer que l'hameçonnage, les logiciels malveillants, le spam, l'activité de botnet et les systèmes compromis sont examinés rapidement.
2. Les dossiers périmés peuvent augmenter le risque de détournement de ressources
Les ressources du numéro Internet sont des atouts précieux. Les adresses IPv4, en particulier, sont devenues de plus en plus importantes parce que l'offre disponible est limitée.
Les attaquants peuvent chercher un espace d'adresse abandonné, mal entretenu ou faiblement documenté. Des informations WHOIS périmées peuvent faire apparaître une ressource négligée ou créer une confusion sur qui a le pouvoir de la gérer.
Un attaquant peut tenter d'exploiter ces incohérences en :
- Imposer le détenteur de la ressource légitime
- Présentation de documents de propriété frauduleux
- Modification des informations de routage
- Tentative de transfert non autorisé de ressources
- Création de fausses lettres d'autorisation
- Annonce du préfixe IP via un autre réseau
Les enregistrements WHOIS seuls n'empêchent pas le détournement. Cependant, des données d'enregistrement précises, un accès fiable aux comptes, des contrôles d'autorisation appropriés et des pratiques d'acheminement sécurisé rendent beaucoup plus difficile pour un attaquant de réclamer ou d'utiliser ses ressources.
Les organisations devraient également envisager de mettre en oeuvre l'infrastructure à clé publique des ressources, ou RPKI, pour créer des autorisations d'origine des routes pour leurs préfixes IP.
3. La réponse à l'incident peut être retardée
Les incidents en réseau nécessitent souvent une coordination rapide entre plusieurs organisations.
Une fuite de routage, une attaque de déni de service distribuée, une mauvaise configuration ou un serveur compromis peuvent affecter des réseaux extérieurs à votre organisation. Ces réseaux ont besoin d'un moyen fiable pour atteindre votre équipe technique.
Si vos données WHOIS sont incorrectes, les intervenants d'incidents peuvent devoir effectuer des recherches sur des sites Web d'entreprise, des profils de médias sociaux, des dossiers historiques ou des bases de données de tiers pour trouver un contact valide.
Ce retard peut augmenter :
- Temps d'arrêt du service
- Perte de paquets
- Plaintes des clients
- Pertes financières
- Dommages de réputation
- Nombre de réseaux touchés
Des contacts techniques et abusifs corrects permettent aux parties externes d'exacerber les problèmes urgents directement aux personnes qui peuvent les résoudre.
4. Les transferts d'adresses IP peuvent être retardés ou rejetés
Les organisations qui achètent, vendent ou transfèrent des locaux d'adresse IPv4 doivent habituellement démontrer qu'elles ont le pouvoir de contrôler les ressources en cause.
Au cours de la diligence raisonnable, des dossiers WHOIS incohérents peuvent soulever des questions sur la propriété et l'autorisation.
Par exemple, le nom de l'organisme enregistré peut ne pas correspondre :
- Le nom sur les documents d'entreprise
- Le nom dans le contrat de vente
- L'organisation qui demande le transfert
- L'entité juridique actuelle après une fusion
- Le titulaire du compte dans le portail du registre
Ces écarts peuvent retarder la transaction pendant que les parties recueillent des documents supplémentaires.
Dans les cas plus graves, le transfert peut être refusé jusqu'à ce que les informations d'enregistrement soient corrigées.
Avant de commencer un transfert de IPv4, les organisations devraient examiner leurs dossiers WHOIS, leur structure organisationnelle, l'accès aux comptes de registre et les documents justificatifs de propriété.
Support professionnel de ressources Internet de Aide NRS. peut aider les organisations à cerner les problèmes d'inscription éventuels avant qu'ils ne interfèrent avec une demande de transfert ou de gestion des ressources.
5. Les contacts avec les victimes de mauvais traitements peuvent nuire à la réputation de votre réseau
La réputation du réseau joue un rôle important dans la transmission des courriels, les opérations d'hébergement, la cybersécurité et la connectivité.
Si les plaintes d'abus sont sans réponse à plusieurs reprises parce que le contact inscrit est inactif, d'autres fournisseurs peuvent supposer que votre organisation est peu disposée ou incapable de contrôler les activités malveillantes.
Cela peut conduire à:
- Liste de blocage des adresses IP
- Erreurs dans la livraison des courriels
- Services d'hébergement suspendus
- Plaintes des fournisseurs en amont
- Problèmes de confiance des clients
- Surveillance accrue des autres opérateurs de réseau
Un contact d'abus précis n'empêche pas chaque plainte, mais il montre que votre organisation a une équipe responsable et accessible.
La boîte aux lettres devrait être surveillée régulièrement et être reliée à un processus interne clair de traitement des incidents.
6. Les anciens employés peuvent conserver le contrôle des comptes importants
L'un des risques d'inscription les plus courants survient lorsqu'un ancien employé demeure inscrit comme contact administratif ou technique pour les ressources Internet.
La même personne peut également conserver l'accès à :
- Comptes régionaux du Registre Internet
- Adresses électroniques de l'entreprise
- Comptes d'enregistrement de domaine
- Plates-formes de gestion des itinéraires
- Systèmes RPKI
- Objets du Registre d'acheminement d'Internet
- Portails des fournisseurs de réseaux
Si l'accès n'est pas retiré rapidement, l'ancien employé peut encore être en mesure de modifier des renseignements importants sur les ressources.
Même sans intention malveillante, le fait de compter sur un ancien employé crée un risque opérationnel. La réinitialisation du mot de passe, les demandes d'autorisation et les notifications de registre peuvent continuer à être envoyées à un compte auquel votre équipe actuelle ne peut accéder.
Les mises à jour de WHOIS devraient donc être incluses dans chaque examen de hors-bord et de contrôle d'accès des employés.
7. Fusions et restructuration d'entreprises peuvent créer la confusion de propriété
Les fusions, acquisitions, dissolutions et changements de dénomination sociale peuvent laisser des ressources Internet enregistrées sous une entité juridique dépassée.
Par exemple, une société acquise ne peut plus fonctionner, mais ses adresses IPv4 peuvent encore être enregistrées sous son nom original.
Cela peut créer des problèmes lorsque la nouvelle organisation doit :
- Mettre à jour les coordonnées
- Modifier les modalités d'acheminement
- Créer des enregistrements RPKI
- Espace d'adresse de transfert
- Répondre à un examen du registre
- Prouvez ses droits aux ressources
Les organisations devraient examiner toutes les ressources relatives aux numéros Internet dans le cadre de la procédure de fusion et d'acquisition.
L'examen devrait confirmer que la propriété légale, les registres, les justificatifs de compte, les registres d'acheminement et les inventaires internes des biens sont alignés.
8. Avis importants du greffe peuvent manquer
Les registres Internet régionaux peuvent envoyer des avis concernant la sécurité des comptes, les exigences de la politique, l'examen des ressources, les frais, les demandes de validation ou les changements aux services d'inscription.
Si l'adresse courriel enregistrée n'est plus surveillée, votre organisation peut manquer une date limite importante.
Selon la situation, cela peut entraîner:
- Problèmes d'accès aux comptes
- Demandes de ressources différées
- La validation du contact a échoué
- Demandes de transfert incomplètes
- Services d'enregistrement interrompus
- Travaux administratifs supplémentaires
Une adresse courriel partagée basée sur le rôle est généralement plus fiable que l'utilisation de l'adresse personnelle d'un seul employé.
Par exemple, les organisations peuvent utiliser des adresses spécifiques telles que :
- noc@company.com
- abuse@company.com
- ipadmin@company.com
- networkoperations@company.com
Ces adresses devraient être protégées par de solides contrôles d'accès et surveillées par plus d'un employé autorisé.
Signes d'avertissement que vos enregistrements WHOIS ont besoin d'attention
Votre organisation devrait examiner ses enregistrements WHOIS immédiatement lorsque :
- Un contact inscrit a quitté l'entreprise
- La société a changé de nom légal
- L'organisation a effectué une fusion ou une acquisition
- Un domaine de messagerie enregistré n'est plus utilisé
- Les justificatifs de compte du Greffe ne peuvent pas être localisés
- L'adresse physique a changé
- Les rapports d'abus ne parviennent pas à l'équipe de sécurité
- Les documents de transfert IP ne correspondent pas aux informations du registre
- Un tiers gère des ressources sans autorisation claire
- Votre équipe ne peut pas confirmer qui IP bloque l'organisation possède
Une vérification régulière peut révéler ces problèmes avant qu'ils n'affectent un transfert, une enquête de sécurité ou un incident de routage.
Comment conserver les enregistrements WHOIS précis
Examen régulier des dossiers
Effectuer un examen officiel au moins une fois par année. Les organisations ayant de grands portefeuilles IP, des changements fréquents de dotation ou des transferts actifs de ressources peuvent avoir besoin d'examens plus fréquents.
Comparez les renseignements du registre avec votre inventaire interne des biens et vos dossiers ministériels.
Utiliser les coordonnées basées sur le rôle
Évitez de vous fier entièrement à une adresse courriel personnelle d'un employé.
Utiliser des boîtes de réception surveillées pour les contacts administratifs, techniques et abusifs. S'assurer que plus d'une personne autorisée peut accéder à chaque boîte de réception.
Protéger les comptes du registre
Activer l'authentification multi-facteurs partout où elle est disponible.
Utilisez des mots de passe forts et uniques et stockez des informations de récupération dans un gestionnaire de mots de passe de l'entreprise approuvé.
L'accès devrait être limité en fonction des responsabilités de chaque employé.
Mise à jour des dossiers après les changements organisationnels
Les revues WHOIS devraient être déclenchées par des événements tels que:
- Départs des employés
- Changement de nom de l'entreprise
- Transferts de bureaux
- Fusions et acquisitions
- Évolution des fournisseurs de réseaux
- IP adresse achats ou ventes
- Changements dans la responsabilité technique
N'attendez pas qu'un incident de sécurité ou une demande de transfert révèle des renseignements périmés.
Maintenir la documentation à l'appui
Conservez des registres organisés montrant comment votre organisation a obtenu et contrôle ses ressources de numéros Internet.
Les documents utiles peuvent comprendre:
- Correspondance du Greffe
- Transfert des dossiers d'approbation
- Documentation sur les allocations de crédits
- Documents d'enregistrement des sociétés
- Accords de fusion et d'acquisition
- Factures historiques
- Lettres d'autorisation
- Diagrammes réseau
- Registres d'acheminement
Ces documents peuvent être nécessaires pour mettre à jour l'information relative à l'enregistrement ou prouver l'autorité sur une ressource.
Examiner ensemble les données sur le routage et le registre
WHOIS n'est qu'une partie de la sécurité des ressources Internet.
Les organisations devraient également examiner :
- Annonces relatives au protocole de la passerelle frontalière
- Objets du Registre d'acheminement d'Internet
- Autorisations d'origine des routes
- Autorisations des fournisseurs en amont
- Enregistrements DNS inversés
- Information sur la géolocalisation
- Systèmes internes de gestion des adresses IP
L'information dans l'ensemble de ces systèmes devrait être cohérente et contrôlée par le personnel autorisé.
Que faire lorsque l'information WHOIS est déjà dépassée
Le processus de correction dépend du registre Internet régional pertinent et du type d'information à modifier.
En général, votre organisation pourrait devoir :
- Identifier le registre responsable de la ressource.
- Confirmez qui contrôle actuellement le compte de registre.
- Examiner l'organisation existante et les dossiers des personnes-ressources.
- Recueillir les documents à l'appui de la mise à jour demandée.
- Supprimer les contacts non autorisés ou inactifs.
- Mettre à jour les renseignements administratifs, techniques et sur les abus.
- Examiner la sécurité du compte et activer l'authentification multi-facteurs.
- Vérifier le routage connexe, les enregistrements RPKI et IRR.
Les cas complexes peuvent concerner des entreprises dissoutes, des justificatifs de compte manquants, d'anciens employés, des acquisitions ou des affectations d'adresses historiques.
Dans ces situations, l'aide d'experts peut aider votre organisation à préparer les preuves nécessaires et à communiquer efficacement avec le registre pertinent.
Comment NRS.help peut soutenir votre organisation
La gestion des ressources de numéros Internet nécessite souvent plus qu'un changement d'adresse électronique.
Les questions d'inscription peuvent être liées à la propriété de l'entreprise, aux allocations historiques, aux exigences de transfert, aux registres de routage ou à l'accès aux comptes de registre.
Aide NRS. soutient les organisations qui administrent les ressources sur Internet, notamment :
- Revues d'enregistrement WHOIS
- Appui au compte du Greffe
- Organisation et mises à jour des contacts
- Préparation du transfert IPv4
- Documentation relative à la propriété des ressources
- RPKI et directives relatives au routage
- Audits de portefeuille IP
- Examen des ressources de fusion et d'acquisition
Notre équipe aide les organisations à identifier les incohérences, à organiser les documents à l'appui et à réduire les risques associés aux documents de ressources Web périmés.
Protégez votre réseau avant qu'un problème ne se produise
Les informations WHOIS périmées peuvent transformer un problème administratif gérable en un grave problème de sécurité, de routage ou de propriété.
Des dossiers précis aident votre organisation à recevoir des rapports d'incidents urgents, à prouver le contrôle de précieuses ressources IP, à effectuer des transferts efficaces et à maintenir la confiance avec d'autres opérateurs de réseau.
N'attendez pas qu'une plainte d'abus, un incident de routage ou une transaction IPv4 révèle des lacunes dans vos dossiers.
Consultez vos informations WHOIS, sécurisez vos comptes de registre, mettez à jour vos contacts inactifs et confirmez que vos données d'inscription correspondent à votre structure organisationnelle actuelle.
Pour un soutien professionnel examinant et corrigeant vos dossiers de ressources de numéros Internet, contactez Aide NRS..
