BIND DNS content pack (контент багц)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Berkeley Internet Name Domain (BIND) нь өргөн хэрэглэгддэг DNS сервер юм. BIND нь татаж авч үнэгүй ашиглах боломжтой нээлттэй эхийн систем.
Энэ контент багц нь BIND 9 DNS query лог болон алдааны логийг боловсруулж, эдгээр үйл явдлыг нормчилж, баяжуулна.
Дэмжигдэх хувилбарууд
BIND 9.18.1
Лог форматын жишээ
2023-02-23T21:31:02.205Z queries: info: client @0x7f9bac008aa8 127.0.0.1#57316 (notadomainatall.org): query: notadomainatall.org IN A +E(0)K (127.0.0.1)2023-02-23T18:27:56.834Z query-errors: info: client @0x7f9ba802c7f8 127.0.0.1#40232 (asldkjfals.topnet): query failed (REFUSED) for asldkjfals.topnet/IN/A at query.c:5590Шаардлага
- BIND DNS-ийг суулгана. BIND DNS-ийг хэрхэн суулгах талаарх мэдээллийг албан ёсны баримт бичгээс олж болно. Үйлдлийн системдээ тохирсон BIND-ийг татах тодорхой зааврыг нийлүүлэгчээсээ лавлана уу.
- Illuminate BIND DNS багц нь Security Data Lake руу илгээж буй бүх BIND DNS логийн log channel тохиргоонд дараахыг шаарддаг:
print-category yes;
print-severity yes;- BIND логийг Security Data Lake Forwarder Beats input руу илгээхээр Filebeat-ийг тохируулна.
Filebeat-ийн тохиргоо
Filebeat нь Windows сервер дээрээс Security Data Lake шиг алсын логийн систем рүү лог илгээхэд ашиглаж болох хөнгөн лог дамжуулагч юм. Filebeat-ийг суулгаж Security Data Lake instance-тайгаа холбохын тулд доорх дарааллыг дага:
1. Filebeat суулгах
elastic.co-оос Windows-д зориулсан Filebeat-ийг татаж суулгана. Шаардлагатай хувилбараа сонгож ZIP файлыг татна. filebeat-ийн суулгах зааврыг дага.
2. Security Data Lake дотор input үүсгэх
Security Data Lake дотор Enterprise > Forwarders > Input Profiles > New input profile хэсэгт хүссэн port дугаартай Beats input үүсгэнэ. Дэлгэрэнгүйг Beats Input хэсгээс үзнэ үү.
Input-ыг нэрлэж хадгална. Input-ын төлөв нь running байгаа эсэхийг шалгана.
3. BIND логийг цуглуулахаар Filebeat-ийг тохируулах
Filebeat-ийн тохиргооны файл (filebeat.yml)-ыг засаж, BIND логийн байршил болон бусад хүссэн тохиргоог зааж өгнө. Энэ файлд мөн Filebeat логийг илгээх Security Data Lake output-ыг зааж өгөх хэрэгтэй.
Доорх тохиолдолд бид "paths" дор хавтас дахь бүх файлыг авахын тулд дараах мөрийг нэмсэн: C:\Windows\System32\BIND\*
"fields" хэсэг заавал байх ёстой, учир нь Security Data Lake үүгээр логийг зөв stream рүү чиглүүлдэг.
Доорх filebeat.yml жишээ файл нь таны BIND серверээс Security Data Lake руу логийг бүрэн импортлож задлахад шаардлагатай хамгийн бага хэсгүүдийг харуулж байна. Та файлд нэмэлт оруулж болно, гэхдээ хоёр хэсэг (inputs ба output) хоёулаа байх ёстой.
# ============================== Filebeat inputs ===============================
filebeat.inputs:# Each - is an input. Most options can be set at the input level, so
# you can use different inputs for various configurations.
# Below are the input specific configurations.
# filestream is an input for collecting log messages from files.
- type: filestream
# Unique ID among all inputs, an ID is required.
id: <my-filestream-id>
# Change to true to enable this input configuration.
enabled: true
# Paths that should be crawled and fetched. Glob based paths.
paths:
- C:\Windows\System32\BIND\
# Set the event_source_product field to bind_dns
fields:
event_source_product: bind_dns
fields_under_root: true
# ------------------------------ Logstash Output -------------------------------
output.logstash:
# The Logstash hosts
hosts: ["<your_forwarder_ip>:5044"]Stream-ийн тохиргоо
Энэ технологийн багц нэг stream агуулна:
"Illuminate: BIND DNS Messages"
Тэмдэглэл
Хэрэв энэ stream багцыг идэвхжүүлэхээс өмнө байхгүй бол үүсгэгдэж, мессежүүдийг энэ stream болон холбогдох index set рүү чиглүүлэхээр тохируулагдана. Энэ stream-д ямар ч stream rule тохируулсан байх ёсгүй.
Index set-ийн тохиргоо
Энэ технологийн багц нэг index set тодорхойлолт агуулна:
"BIND DNS Logs"
Тэмдэглэл
Хэрэв энэ index set өмнө нь тодорхойлогдсон бол юу ч өөрчлөгдөхгүй. Хэрэв байхгүй бол таны лицензийн эрхийн дагуу үүсгэгдэнэ.
Логийн тохиргоо
BIND логийн тохиргоог дараах байдлаар хийнэ:
- Тохиргоогоо нөөцөлнө (back up).
- Query логоо хадгалах BIND instance-ийн логийг тохируулна:
/var/log/named/query.log. - Query алдааны логийг дараах газар хадгална:
/var/log/named/query-errors.log.
Доор таны BIND тохиргоонд нэмж болох BIND logging тохиргооны хэсгийн жишээ байна. Энэ logging тохиргоо таны орчинд ажиллаж байгааг шалгаж, шаардлагатай бол тохируулна уу.
logging {
channel named { file "/var/log/named/named.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-category yes; print-severity yes;};
channel security { file "/var/log/named/security.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
channel dnssec { file "/var/log/named/dnssec.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
channel resolver { file "/var/log/named/resolver.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
channel query_log { file "/var/log/named/query.log" versions 10 size 80M; severity debug; print-time iso8601-utc; print-severity yes; };
channel query-error { file "/var/log/named/query-errors.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
channel lame_servers { file "/var/log/named/lame-servers.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
channel capacity { file "/var/log/named/capacity.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
channel rpz { file "/var/log/named/rpz.log" versions 10 size 20M; severity info; print-time iso8601-utc; print-severity yes; };
category default { default_syslog; named; };
category general { default_syslog; named; };
category security { security; };
category queries { query_log; };
category lame-servers { lame_servers;};
category dnssec { dnssec; };
category edns-disabled { default_syslog; };
category config { default_syslog; named; };
category resolver { resolver; };
category edns-disabled { resolver; };
category cname { resolver; };
category serve-stale { resolver; };
category spill { capacity; };
category rate-limit { capacity; };
category database { capacity; };
category client { default_syslog; named; };
category network { default_syslog; named; };
// category dnstap { dnstap;};
category unmatched { named; };
category network { named; };
category delegation-only { named;};
category dispatch { named; };
category trust-anchor-telemetry { named; };
category rpz { rpz;};
};BIND logging тохиргооны үндсэн зөвлөмжийг ISC documentation-аас үзнэ үү.
Доор BIND-ийн лог тохиргооны жишээ байна. Энэ нь бүрэн бус тохиргоо тул орчиндоо тохируулан өөрчлөх хэрэгтэйг анхаарна уу.
Доорх жишээнд /var/log/named/queries болон /var/log/named/query-errors замууд болон файлуудыг ашигласан.
Бидний жишээг үндсэн зөвлөмж дэх жишээнээс авсан бөгөөд дараах өөрчлөлттэй: print-time yes; -ийг print-time iso8601-utc; болгосон.
Жишээ тохиргооны бүрэлдэхүүн хэсгүүд (BIND-ийн бүрэн logging тохиргоо биш!):
channel queries_log {
file "/var/log/named/queries" versions 600 size 20m;
print-time iso8601-utc;
print-category yes;
print-severity yes;
severity info;
};
channel query-errors_log {
file "/var/log/named/query-errors" versions 5 size 20m;
print-time iso8601-utc;
print-category yes;
print-severity yes;
severity dynamic;
};
category query-errors {query-errors_log; };
category queries { queries_log; };Энэ хуудсанд гарсан нэр томъёо
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)