Suivre Les serveurs DNS Windows consignent dans trois emplacements dans l’Observateur d’événements, plus un fichier texte facultatif :
- Microsoft → Windows → DNS-Server → Audit: changements de zone et d’enregistrement. Activé par défaut sur les versions actuelles de Windows Server.
- Microsoft → Windows → DNS-Server → Analytical: chaque requête et réponse. Désactivé par défaut et caché jusqu’à ce que vous activiez les journaux analytiques.
- Serveur DNS, sous Applications et Services Logs : événements de niveau service tels que démarrages, arrêts et erreurs de chargement de zone.
- The journal de débogage, un fichier texte que vous activez dans le DNS Manager, généralement C:WindowsSystem32dnsdns.log.
L’exportation principale est une ligne depuis une invite élevée :
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
Presque tout sur un réseau effectue des requêtes DNS, y compris les malwares. Les journaux de requêtes révèlent le tunneling DNS, les algorithmes de génération de domaines et les appels à des domaines connus pour être malveillants. Les journaux d’audit révèlent quelqu’un modifiant discrètement des enregistrements. Prime Core a {N} règles de détection pour les données DNS, mappées à {M} techniques MITRE ATT&CK. Parmi elles : commande et contrôle via DNS (T1071.004) et algorithmes de génération de domaines (T1568.002).
Avant de commencer
La journalisation des requêtes n’était probablement pas activée. Le canal Analytique est désactivé par défaut. Si vous enquêtez sur quelque chose qui s’est déjà produit, il est probable qu’il n’y ait pas de journaux de requêtes sur le serveur. Vos options sont le côté client (événement Sysmon 22, ou le journal du client DNS), les journaux de pare-feu ou de proxy, ou un capteur réseau. L’activer maintenant aide à partir de ce point.
Activer la journalisation des requêtes (pour l’avenir). Dans l’Observateur d’événements, choisissez Affichage → Afficher les journaux analytiques et de débogage, puis clic droit Analytical sous DNS-Server et choisissez Activer le journal. Ou depuis la ligne de commande :
wevtutil sl "Microsoft-Windows-DNSServer/Analytical" /e:true
Microsoft décrit la surcharge comme modeste, mais sur un résolveur très occupé, testez avant de le laisser activé.
Vous avez besoin d’une invite élevée, sur le serveur DNS ou sur un contrôleur de domaine exécutant DNS.
Exporter les journaux
:: modifications d'enregistrements et de zones
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
:: événements de niveau service
wevtutil epl "DNS Server" C:logsdns_server.evtx
:: requêtes et réponses (seulement si Analytical était activé)
wevtutil epl "Microsoft-Windows-DNSServer/Analytical" C:logsdns_analytical.evtx
Les canaux analytiques se comportent différemment des journaux normaux. L’Observateur d’événements peut vous demander de désactiver le journal avant d’afficher les événements. Get-WinEvent de PowerShell les lit uniquement avec -Oldest.
Le journal de débogage est en texte brut, configuré dans DNS Manager → Propriétés du serveur → Débogage. Il enregistre les paquets en détail et se réécrit lorsque la limite de taille est atteinte, écrasant les entrées plus anciennes. Copiez-le tel quel : copy C:WindowsSystem32dnsdns.log C:logs.
Que faut-il rechercher
| Signal | Ce que cela peut signifier |
|---|---|
| Sous-domaines très longs et à l’apparence aléatoire dans les requêtes | Tunneling DNS, données exfiltrées dans les noms de requêtes |
| Un client générant de nombreuses recherches échouées (NXDOMAIN) | Malware parcourant des domaines générés |
| Un volume élevé de requêtes TXT d’un hôte | Tunneling ou commande et contrôle |
| Événements d’audit pour des enregistrements créés, supprimés ou modifiés en dehors des fenêtres de changement | Détournement d’enregistrement, par exemple, un nouvel enregistrement wpad |
| Une DLL de plugin chargée par le service de serveur DNS | Abus du groupe DnsAdmins pour exécuter du code en tant que SYSTEM |
Télécharger et réviser dans LogTotal
LogTotal lit les fichiers EVTX nativement. Une chose à savoir d’abord : LogTotal ne nettoie pas encore les fichiers EVTX. Les journaux DNS contiennent des noms d’hôtes internes et des IP client. Considérez un téléchargement comme une remise du fichier brut : bon pour les serveurs de test ; pour la production, obtenez un oui de la personne responsable de la gestion des données d’abord.
Si vous avez besoin d’un nettoyage aujourd’hui, convertissez d’abord en JSON : evtx_dump -o jsonl dns_audit.evtx > dns_audit.jsonl.
- Téléchargez. Ouvrir logtotal.com et déposez le fichier.
- Révisez.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Pas de canal Analytique dans l’Observateur d’événements | Les journaux analytiques sont cachés par défaut | Affichage → Afficher les journaux analytiques et de débogage |
| Le canal Analytique est vide | Il n’a jamais été activé | Activez-le ; pas d’historique avant cela |
| Erreurs Get-WinEvent sur le journal Analytique | Les journaux analytiques nécessitent -Oldest | Ajoutez -Oldest |
| Canal d’audit manquant | Ancien Windows Server sans la mise à jour | Vérifiez la version de l’OS ; utilisez le journal de débogage |
| Le journal de débogage couvre seulement une courte période | Il s’est réécrit à la limite de taille | Augmentez la limite, ou redirigez les journaux ailleurs |
FAQ
Journaux du serveur ou journaux du client ?
Le serveur DNS vous dit quelle IP client a demandé. Seul le client vous dit quel processus a demandé. C’est pourquoi l’événement Sysmon 22 sur les points de terminaison complète si bien les journaux du serveur.
Le journal de débogage est-il meilleur que le canal Analytique ?
Le journal de débogage contient plus de détails sur les paquets mais coûte plus cher et se réécrit. Pour la plupart des enquêtes, le canal Analytique est le meilleur par défaut.
