Folgen Windows-DNS-Server protokolliert an drei Stellen im Ereignisprotokoll sowie optional in einer Textdatei:
- Microsoft → Windows → DNS-Server → Überwachung: Zonen- und Datensatzänderungen. Standardmäßig aktiviert auf aktuellen Windows-Servern.
- Microsoft → Windows → DNS-Server → Analytisch: Jede Anfrage und Antwort. Standardmäßig deaktiviert und verborgen, bis analytische Protokolle angezeigt werden.
- DNS-Server, unter Anwendungs- und Dienstprotokolle: Ereignisse auf Dienstebene wie Starts, Stopps und Zonenladefehler.
- The Debug-Protokoll, eine Textdatei, die Sie im DNS-Manager aktivieren, normalerweise C:WindowsSystem32dnsdns.log.
Der Hauptexport erfolgt mit einer Zeile im erhöhten Eingabeaufforderung:
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
Fast alles im Netzwerk stellt DNS-Anfragen, auch Malware. Anfragelogs decken DNS-Tunneling, Domain-Generierungsalgorithmen und Anfragen zu bekannten-bösartigen Domains auf. Überwachungslogs zeigen auf, wenn jemand leise Datensätze ändert. Prime Core verfügt über {N} Erkennungsregeln für DNS-Daten, gemappt auf {M} MITRE ATT&CK-Techniken. Darunter: Kommando-und-Kontrolle über DNS (T1071.004) und Domain-Generierungsalgorithmen (T1568.002).
Bevor Sie beginnen
Die Anfragelog-Erfassung war wahrscheinlich nicht aktiviert. Der analytische Kanal ist standardmäßig deaktiviert. Wenn Sie etwas untersuchen, das bereits passiert ist, gibt es wahrscheinlich keine Anfragelogs vom Server. Ihre Optionen sind die Clientseite (Sysmon-Ereignis 22 oder das DNS-Client-Protokoll), Firewall- oder Proxy-Logs oder ein Netzwerksensor. Wenn Sie es jetzt aktivieren, hilft es von hier an.
Anfragelogging aktivieren (für die Zukunft). Wählen Sie im Ereignisprotokoll Ansicht → Analytische und Debug-Protokolle anzeigen, dann rechtsklicken Sie auf Analytisch unter DNS-Server und wählen Protokoll aktivieren. Oder über die Befehlszeile:
wevtutil sl "Microsoft-Windows-DNSServer/Analytic" /e:true
Microsoft beschreibt den Overhead als moderat, aber bei einem sehr beschäftigten Resolver testen Sie, bevor Sie es aktiviert lassen.
Sie benötigen eine erhöhte Eingabeaufforderung, entweder auf dem DNS-Server oder auf einem Domänencontroller, der DNS ausführt.
Protokolle exportieren
:: Datensatz- und Zonenänderungen
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
:: Ereignisse auf Dienstebene
wevtutil epl "DNS Server" C:logsdns_server.evtx
:: Anfragen und Antworten (nur wenn Analytisch aktiviert war)
wevtutil epl "Microsoft-Windows-DNSServer/Analytic" C:logsdns_analytical.evtx
Analytische Kanäle verhalten sich anders als normale Logs. Der Ereignisprotokoll-Viewer kann Sie auffordern, das Protokoll zu deaktivieren, bevor es Ereignisse anzeigt. PowerShells Get-WinEvent liest sie nur mit -Oldest.
Das Debug-Protokoll ist reiner Text, konfiguriert in DNS-Manager → Servereigenschaften → Debug-Protokollierung. Es zeichnet Pakete im Detail auf und rotiert, wenn es seine Größenbeschränkung erreicht, wobei ältere Einträge überschrieben werden. Kopieren Sie es unverändert: copy C:WindowsSystem32dnsdns.log C:logs.
Wonach Sie suchen sollten
| Signal | Was es bedeuten kann |
|---|---|
| Sehr lange, zufällig aussehende Subdomains in Anfragen | DNS-Tunneling, Daten verschleiert in Anfragenamen |
| Ein Client, der viele fehlgeschlagene Abfragen generiert (NXDOMAIN) | Malware durchläuft generierte Domains |
| Ein hohes Volumen an TXT-Anfragen von einem Host | Tunneling oder Kommando-und-Kontrolle |
| Audit-Ereignisse für Datensätze, die außerhalb von Änderungsfenstern erstellt, gelöscht oder geändert wurden | Datensatzverschleierung, z.B. ein neuer wpad-Datensatz |
| Ein Plugin-DLL, geladen vom DNS-Server-Dienst | Missbrauch der DnsAdmins-Gruppe, um Code als SYSTEM auszuführen |
Hochladen und Überprüfen in LogTotal
LogTotal liest EVTX nativ. Eine Sache, die Sie zuerst wissen sollten: LogTotal sanitisiert EVTX-Dateien noch nicht. DNS-Protokolle enthalten interne Hostnamen und Client-IPs. Behandeln Sie einen Upload, als ob Sie die Rohdatei übergeben: gut für Testserver; für die Produktion, erhalten Sie zuerst ein Ja von demjenigen, der für die Datenverarbeitung verantwortlich ist.
Wenn Sie heute eine Bereinigung benötigen, konvertieren Sie sie zuerst in JSON: evtx_dump -o jsonl dns_audit.evtx > dns_audit.jsonl.
- Hochladen. Öffnen logtotal.com und ziehen Sie die Datei hinein.
- Überprüfen.
Wenn es schief geht
| Symptom | Vermutliche Ursache | Fix |
|---|---|---|
| Kein Analysekanel im Ereignisprotokoll-Viewer | Analytische Protokolle sind standardmäßig ausgeblendet | Ansicht → Analytische und Debug-Protokolle anzeigen |
| Analytischer Kanal ist leer | Es wurde nie aktiviert | Aktivieren Sie es; keine Historie davor |
| Get-WinEvent-Fehler auf dem analytischen Protokoll | Analytische Protokolle benötigen -Oldest | -Oldest hinzufügen |
| Überwachungskanal fehlt | Älterer Windows-Server ohne Update | Überprüfen Sie die OS-Version; verwenden Sie das Debug-Protokoll |
| Das Debug-Protokoll deckt nur eine kurze Zeitspanne ab | Es hat sich am Größenlimit überschrieben | Limit erhöhen oder Protokolle woandershin weiterleiten |
FAQ
Serverprotokolle oder Clientprotokolle?
Der DNS-Server zeigt Ihnen, welche Client-IP angefragt hat. Nur der Client zeigt Ihnen, welcher Prozess angefragt hat. Deshalb ergänzt Sysmon-Ereignis 22 auf Endpunkten so gut die Serverprotokolle.
Ist das Debug-Protokoll besser als der analytische Kanal?
Das Debug-Protokoll enthält mehr Paketdetails, kostet aber mehr und überschreibt sich. Für die meisten Untersuchungen ist der analytische Kanal die bessere Standardeinstellung.
