Стежити Windows DNS Server записує події у три місця в Переглядачі подій, плюс додатковий текстовий файл:
- Microsoft → Windows → DNS-Server → Audit: зміни зон та записів. Увімкнено за замовчуванням на поточному Windows Server.
- Microsoft → Windows → DNS-Server → Analytical: кожний запит та відповідь. Вимкнено за замовчуванням і приховано доти, поки ви не покажете аналітичні журнали.
- DNS Server, під Журнали застосунків та служб: події на рівні сервісу, такі як запуски, зупинки та помилки завантаження зон.
- The журнал налагодження, текстовий файл, який ви вмикаєте у DNS Manager, зазвичай C:WindowsSystem32dnsdns.log.
Основний експорт — це один рядок з підвищеного запиту:
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
Майже все в мережі робить запити DNS, включаючи шкідливе ПЗ. Журнали запитів виявляють тунелювання DNS, алгоритми генерації доменів та виклики до відомо небезпечних доменів. Журнали аудиту показують тихі зміни записів. Prime Core має {N} правил для виявлення DNS-даних, прив’язаних до {M} технік MITRE ATT&CK. Серед них: управління й контроль через DNS (T1071.004) і алгоритми генерації доменів (T1568.002).
Перед початком
Ймовірно, журналювання запитів не було ввімкнено. Аналітичний канал вимкнено за замовчуванням. Якщо ви розслідуєте щось, що вже сталося, то, ймовірно, жодних журналів запитів із сервера немає. Ваші варіанти — на стороні клієнта (подія Sysmon 22 або журнал DNS Client), журнали брандмауера чи проксі, або ж сенсор мережі. Увімкнення його зараз допоможе з цього моменту.
Увімкніть журналювання запитів (на майбутнє). У Переглядачі подій виберіть Перегляд → Показати аналітичні та журнали налагодження, потім клацніть правою кнопкою миші Аналітичний під DNS-Server і виберіть Увімкнути журнал. Або з командного рядка:
wevtutil sl "Microsoft-Windows-DNSServer/Analytical" /e:true
Microsoft описує навантаження як незначне, але на дуже зайнятому резольвері, перевірте, перш ніж залишати його ввімкненим.
Потрібен підвищений запит, на DNS сервері чи на контролері домену, який виконує DNS.
Експорт журналів
:: зміни записів і зон
wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx
:: події на рівні сервісу
wevtutil epl "DNS Server" C:logsdns_server.evtx
:: запити та відповіді (тільки якщо Аналітичний був увімкнений)
wevtutil epl "Microsoft-Windows-DNSServer/Analytical" C:logsdns_analytical.evtx
Аналітичні канали поводяться інакше, ніж звичайні журнали. Переглядач подій може запитати вас про вимкнення журналу перед тим, як показати події. PowerShell’s Get-WinEvent читає їх тільки з -Oldest.
Журнал налагодження це простий текст, налаштований в DNS Manager → server Properties → Debug Logging. Він записує пакети детально й перевертається, коли досягає свого ліміту розміру, перезаписуючи старі записи. Скопіюйте його в такому вигляді, як є: copy C:WindowsSystem32dnsdns.log C:logs.
Що шукати
| Сигнал | Що це може означати |
|---|---|
| Дуже довгі, схожі на випадкові піддоменні імена у запитах | Тунелювання DNS, дані вивозяться у іменах запитів |
| Один клієнт генерує багато невдалих запитів (NXDOMAIN) | Шкідливе ПЗ циклує через згенеровані домени |
| Велика кількість TXT запитів від одного хоста | Тунелювання або управління та контроль |
| Події аудиту для записів створених, видалених чи змінених поза межами вікон змін | Викрадення записів, напр., новий запис wpad |
| Плагін DLL, завантажений службою DNS Server | Зловживання групою DnsAdmins для запуску коду як SYSTEM |
Завантажити та переглянути в LogTotal
LogTotal читає EVTX нативно. Одна річ, яку слід знати спочатку: LogTotal ще не очищує файли EVTX. DNS-журнали містять внутрішні імена хостів і IP-клієнтів. Розглядайте завантаження як передачу сирого файлу: добре для тестових серверів; для продукції отримайте дозвіл від відповідальної за обробку даних особи.
Якщо вам потрібна санітизація сьогодні, конвертуйте в JSON спочатку: evtx_dump -o jsonl dns_audit.evtx > dns_audit.jsonl.
- Завантажити. Відкрити logtotal.com і вставити файл.
- Переглянути.
Коли щось не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| Аналітичний канал відсутній у Переглядачі подій | Аналітичні журнали приховані за замовчуванням | Перегляд → Показати аналітичні та журнали налагодження |
| Аналітичний канал порожній | Його ніколи не було ввімкнено | Увімкніть його; немає історії до цього |
| Get-WinEvent видає помилки по аналітичному журналу | Аналітичні журнали потребують -Oldest | Додати -Oldest |
| Аудиторський канал відсутній | Старіший Windows Server без оновлення | Перевірте версію ОС; використайте журнал налагодження |
| Журнал налагодження охоплює тільки короткий час | Він перезаписав сам себе на ліміті розміру | Збільште ліміт або перенаправте журнали в інше місце |
FAQ
Журнали сервера чи клієнта?
DNS-сервер повідомляє, який клієнтський IP запитав. Лише клієнт вказує, який процес запитав. Ось чому подія Sysmon 22 на кінцевих точках так добре доповнює серверні журнали.
Чи кращий журнал налагодження, ніж аналітичний канал?
Журнал налагодження містить більше деталей пакетів, але коштує більше і перезаписує себе. Для більшості розслідувань аналітичний канал — краще за замовчуванням.
