Seguir El servidor DNS de Windows registra en tres lugares en el Visor de Eventos, más un archivo de texto opcional:
- Microsoft → Windows → DNS-Server → Audit: cambios de zona y registros. Activado por defecto en el servidor Windows actual.
- Microsoft → Windows → DNS-Server → Analytical: cada consulta y respuesta. Desactivado por defecto y oculto hasta que muestres los registros analíticos.
- Servidor DNS, bajo Registros de Aplicaciones y Servicios: eventos a nivel de servicio como inicios, paradas y errores de carga de zona.
- The registro de depuración, un archivo de texto que habilitas en el Administrador de DNS, generalmente C:WindowsSystem32dnsdns.log.
La exportación principal es una línea desde un símbolo del sistema elevado:
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
Casi todo en una red realiza consultas DNS, incluido el malware. Los registros de consultas exponen el túnel DNS, los algoritmos de generación de dominios y las llamadas a dominios conocidos como malos. Los registros de auditoría exponen a alguien cambiando registros en silencio. Prime Core tiene {N} reglas de detección para los datos DNS, mapeadas a {M} técnicas MITRE ATT&CK. Entre ellas: comando y control sobre DNS (T1071.004) y algoritmos de generación de dominios (T1568.002).
Antes de comenzar
Probablemente el registro de consultas no estaba activado. El canal Analítico está apagado por defecto. Si estás investigando algo que ya ocurrió, probablemente no haya registros de consultas del servidor. Tus opciones son el lado del cliente (evento Sysmon 22, o el registro del cliente DNS), registros de firewall o proxy, o un sensor de red. Encenderlo ahora ayuda desde este punto en adelante.
Activar el registro de consultas (para el futuro). En el Visor de Eventos, selecciona Ver → Mostrar Registros Analíticos y de Depuración, luego haz clic derecho en Analytical bajo DNS-Server y selecciona Habilitar Registro. O desde la línea de comandos:
wevtutil sl "Microsoft-Windows-DNSServer/Analytical" /e:true
Microsoft describe la sobrecarga como moderada, pero en un resolver muy ocupado, pruébalo antes de dejarlo encendido.
Necesitas un símbolo del sistema elevado, en el servidor DNS o en un controlador de dominio que ejecute DNS.
Exportar los registros
:: cambios de registros y zonas
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
:: eventos a nivel de servicio
wevtutil epl "DNS Server" C:logsdns_server.evtx
:: consultas y respuestas (solo si se habilitó el Analítico)
wevtutil epl "Microsoft-Windows-DNSServer/Analytical" C:logsdns_analytical.evtx
Los canales analíticos se comportan de manera diferente a los registros normales. El Visor de Eventos puede pedirte que deshabilites el registro antes de mostrar eventos. Get-WinEvent de PowerShell solo los lee con -Oldest.
El registro de depuración es texto plano, configurado en Administrador de DNS → Propiedades del servidor → Registro de depuración. Registra paquetes en detalle, y se reinicia al alcanzar su límite de tamaño, sobrescribiendo entradas anteriores. Cópialo tal cual: copia C:WindowsSystem32dnsdns.log C:logs.
Qué buscar
| Señal | Lo que puede significar |
|---|---|
| Subdominios muy largos y de aspecto aleatorio en consultas | Túnel DNS, datos extraídos en nombres de consulta |
| Un cliente generando muchas búsquedas fallidas (NXDOMAIN) | Malware que cicla a través de dominios generados |
| Un alto volumen de consultas TXT desde un host | Túnel o comando y control |
| Eventos de auditoría para registros creados, eliminados o cambiados fuera de los intervalos de cambio | Secuestro de registros, por ejemplo, un nuevo registro wpad |
| Un DLL de complemento cargado por el servicio del Servidor DNS | Abuso del grupo DnsAdmins para ejecutar código como SYSTEM |
Cargar y revisar en LogTotal
LogTotal lee EVTX de forma nativa. Una cosa que debes saber primero: LogTotal no desinfecta los archivos EVTX todavía. Los registros DNS llevan nombres de host internos y IPs de clientes. Trata una carga como entregar el archivo sin procesar: adecuado para servidores de prueba; para producción, consigue un sí de quien maneja los datos primero.
Si necesitas desinfección hoy, conviértelo a JSON primero: evtx_dump -o jsonl dns_audit.evtx > dns_audit.jsonl.
- Cargar. Abrir logtotal.com y suelta el archivo.
- Revisar.
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| No hay canal Analítico en el Visor de Eventos | Los registros analíticos están ocultos por defecto | Ver → Mostrar Registros Analíticos y de Depuración |
| El canal Analítico está vacío | Nunca estuvo habilitado | Habilítelo; no hay historial antes de eso |
| Errores de Get-WinEvent en el registro Analítico | Los registros analíticos necesitan -Oldest | Añadir -Oldest |
| Falta el canal de Auditoría | Servidor Windows más antiguo sin la actualización | Verificar la versión del SO; usar el registro de depuración |
| El registro de depuración cubre solo un breve período | Se sobrescribió al llegar al límite de tamaño | Aumenta el límite o reenvía los registros a otro lugar |
FAQ
¿Registros del servidor o registros del cliente?
El servidor DNS te dice qué IP de cliente preguntó. Solo el cliente te dice qué proceso preguntó. Por eso, el evento 22 de Sysmon en los endpoints complementa tan bien los registros del servidor.
¿Es mejor el registro de depuración que el canal Analítico?
El registro de depuración mantiene más detalle de paquetes pero cuesta más y se sobrescribe. Para la mayoría de investigaciones, el canal Analítico es el mejor por defecto.
