Windows DNS Server content pack (контент багц)

← Контент багцууд

Windows DNS Server нь дотоод болон гадаад сүлжээний нөөцөд домэйн нэр задлах (name resolution) үйлчилгээ үзүүлдэг Windows Server-ийн үндсэн үүрэг (role) юм. Энэ контент багц нь DNS-ийн Analytical болон Audit логуудыг иж бүрнээр задлан шинжилж, клиентүүдийн хүсэлтийн үйл ажиллагаа, DNS задлалтын үйлдэл ба хугацааны туршийн хэмжүүр, мөн тохиргооны өөрчлөлтүүдийн талаар гүнзгий харагдах байдлыг хангана. Эдгээр лог нь DNS-ийг хортой зорилгоор ашиглаж буйг илрүүлэх, дэд бүтцийн бүрэн бүтэн байдлыг хадгалахад чухал.

Analytical логууд нь Microsoft-Windows-DNSServer Event Tracing for Windows (ETW) provider-оос ирдэг бөгөөд серверийн боловсруулсан DNS хүсэлт, хариулт бүрийг бүртгэнэ. Энэ өндөр хэмжээний телеметр нь нэр задлалтын хэв маягийг хянах, DNS tunneling эсвэл өгөгдөл гадагшлуулах (data exfiltration) зэрэг ер бусын урсгалыг илрүүлэхэд зайлшгүй шаардлагатай. ETW дээр суурилсан логлол нь гүйцэтгэлд зориулагдсан тул хүсэлтийн тоо өндөр үед ч ачааллыг багаар хадгална.

Audit логууд нь Microsoft-Windows-DNS-Server/Audit channel-аас авагдах ба захиргааны үйлдлүүдэд, тухайлбал zone, resource record, DNSSEC болон серверийн тохиргооны өөрчлөлтөд төвлөрнө. Эдгээр event нь зөвшөөрөлгүй өөрчлөлтийг илрүүлэх, аудитын мөр (audit trail) хадгалах, DNS дэд бүтцийн бүрэн бүтэн байдлыг хангахад чухал.

Дэмжигдэх хувилбарууд

Windows Server 2016 болон түүнээс хойших хувилбарууд

Шаардлага

• Windows DNS Server суулгасан, системд DNS Analytic/Audit логууд идэвхжсэн байх
• Filebeat agent 8.13.0 буюу түүнээс хойших хувилбар, standalone байдлаар ажиллаж байх
• Illuminate Core: DNS Processing Add-on Pack (зарим Spotlight widget-д сонголтоор)

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Windows DNS Server Event Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Windows DNS Server Event Messages"

Лог цуглуулалт

DNS Server Analytical логлол нь зөвхөн Event Tracing for Windows (ETW)-д тулгуурладаг тул энэ контент багц лог цуглуулахад Filebeat 8.13.0 буюу түүнээс хойших хувилбарыг шаарддаг. Filebeat нь ETW input module-иараа ETW-г анхдагчаар дэмждэг цөөн лог дамжуулагч agent-ийн нэг юм.

Filebeat-ийг Bitdefender Sidecar-тай хамт багцалсан хэлбэрээр биш, заавал standalone байдлаар ажиллуулах ёстойг анхаарна уу. Учир нь багцалсан Filebeat-ийн хувилбар ETW-тэй нийцэхэд шаардлагатай хамгийн бага хувилбар болох 8.13.0-ээс хуучин байдаг.

DNS Server Audit логууд анхдагчаар идэвхтэй боловч Analytic логууд идэвхгүй байдаг. DNS Server Analytic event log-ийг хэрхэн идэвхжүүлэх талаар Microsoft-ын баримт бичгийг үзнэ үү.

Filebeat standalone тохиргооны жишээ

Windows дээр Filebeat суулгах, тохируулах талаар албан ёсны quick start guide-ийг үзнэ үү.

1. 1
   Security Data Lake дээр Beats input үүсгэнэ. Do not add Beats type as prefix сонголт идэвхгүй байгаа эсэхийг шалгана.
2. 2
   Filebeat-ийн тохиргоог дараах жишээний дагуу засварлана:

# Needed for Security Data Lake
fields_under_root: true

output.logstash:
    hosts: ["<forwarder_ip>:5044"]

path:
    data: C:\Program Files\Filebeat\data
    logs: C:\Program Files\Filebeat\logs

tags:
- windows

filebeat.inputs:
- type: etw
    id: etw-dnsserver
    enabled: true
    provider.name: Microsoft-Windows-DNSServer
    session_name: DNSServer-Analytical  # IMPORTANT for parsing to recognize Analytical events
    trace_level: verbose
    match_any_keyword: 0x8000000000000000
    match_all_keyword: 0

- type: winlog
    id: winlog-dnsserver-audit
    enabled: true
    name: "Microsoft-Windows-DNSServer/Audit"
    ignore_older: 24h

3. 3
   Filebeat-ийн тохиргоог засварлаж, Bitdefender Forwarder-ийн IP эсвэл hostname рүү илгээхээр тохируулна.
4. 4
   Системд DNS Server Analytic болон Audit логууд идэвхжсэн эсэхийг шалгана.

Юу багтсан бэ

• Windows DNS Server Analytic болон Audit event логуудыг Security Data Lake schema-тай нийцэх талбаруудад задлах parsing дүрмүүд
• Нэмэлт судалгааны мэдээлэл (context) өгөх талбарын хэвшүүлэлт (normalization) болон өгөгдлийн баяжуулалт (enrichment)
• DNS-ийн гүйлгээ болон захиргааны үйл ажиллагааг хянах, сүлжээн дэх DNS-ийн хэв маягийн талаар хэрэгтэй мэдээлэл өгөх, боломжит аюулгүй байдлын заналхийллийг тодруулах Illuminate Spotlight dashboard

Энэ технологийн багцын боловсруулдаг event-үүд

Windows DNS Server контент багц дараах event-үүдийг дэмждэг. Жагсаалтад байхгүй Event ID-д ерөнхий боловсруулалт хийгдэнэ.

Analytic event-үүд

Audit event-үүд

GIM ангилал

GIM ангилал дараах мессежүүдэд өгөгдсөн:

Задлан гаргадаг талбарууд

Энэ багц дараах талбаруудыг задлан гаргана. Энэ жагсаалт бүрэн биш гэдгийг анхаарна уу.

Нийтлэг талбарууд

Analytic логууд

Audit логууд

Audit логийн дараах vendor_data талбарууд keyword төрөлтэй (жишээ утга болон тайлбаргүй): vendor_data_action, vendor_data_active_key, vendor_data_base64_data, vendor_data_child_zone, vendor_data_client_subnet_list, vendor_data_client_subnet_record, vendor_data_condition, vendor_data_criteria, vendor_data_crypto_algorithm, vendor_data_current_rollover_status, vendor_data_current_state, vendor_data_denial_of_existence, vendor_data_digest, vendor_data_digest_type, vendor_data_distribute_trust_anchor, vendor_data_key_record_set_ttl, vendor_data_key_signature_validity_period, vendor_data_ds_record_generation_algorithm, vendor_data_ds_record_set_ttl, vendor_data_ds_signature_validity_period, vendor_data_enable_rfc_5011_key_rollover, vendor_data_errors_per_second, vendor_data_event_string, vendor_data_file_path, vendor_data_forwarders, vendor_data_friendly_name, vendor_data_guid, vendor_data_initial_rollover_offset, vendor_data_ipv4_prefix_length, vendor_data_ipv6_prefix_length, vendor_data_is_enabled, vendor_data_is_key_master_server, vendor_data_key_id, vendor_data_key_length, vendor_data_key_master_server, vendor_data_key_or_zone, vendor_data_ksk_or_zsk, vendor_data_key_protocol, vendor_data_key_storage_provider, vendor_data_key_tag, vendor_data_key_type, vendor_data_last_rollover_time, vendor_data_leak_rate, vendor_data_listen_addresses, vendor_data_lookup, vendor_data_master_server, vendor_data_mode, vendor_data_name, vendor_data_NAME, vendor_data_name_server, vendor_data_new_friendly_name, vendor_data_new_property_values, vendor_data_new_scope, vendor_data_new_value, vendor_data_next_key, vendor_data_next_rollover_action, vendor_data_next_rollover_time, vendor_data_node_name, vendor_data_nsec3_hash_algorithm, vendor_data_nsec3_iterations, vendor_data_nsec3_opt_out, vendor_data_nsec3_random_salt_length, vendor_data_nsec3_user_salt, vendor_data_old_friendly_name, vendor_data_old_property_values, vendor_data_old_scope, vendor_data_parent_has_secure_delegation, vendor_data_processing_order, vendor_data_propagation_time, vendor_data_property_key, vendor_data_rdata, vendor_data_recursion_scope, vendor_data_replication_scope, vendor_data_response_per_second, vendor_data_rollover_period, vendor_data_rollover_type, vendor_data_rrl_exception_list, vendor_data_scavenge_servers, vendor_data_scope, vendor_data_scopes, vendor_data_scope_weight, vendor_data_scope_weight_new, vendor_data_scope_weight_old, vendor_data_secure_delegation_polling_period, vendor_data_seized_or_transfered, vendor_data_server_name, vendor_data_setting, vendor_data_signature_inception_offset, vendor_data_standby_key, vendor_data_store_keys_in_ad, vendor_data_subtree_aging, vendor_data_tc_rate, vendor_data_total_responses_in_window, vendor_data_type (keyword), vendor_data_virtualization_id, vendor_data_window_size, vendor_data_with_new_keys, vendor_data_with_without, vendor_data_zone, vendor_data_zone_file, vendor_data_zone_scope, vendor_data_zone_signature_validity_period, vendor_data_zone_name.

Тусгай тэмдэглэгээтэй талбарууд:

Windows DNS Server Spotlight контент багц

Windows DNS Server Spotlight нь 3 tab-тай dashboard санал болгодог:

• DNS Analytic Events
• DNS Audit Events
• Domain Analysis