Microsoft DNS Server: настройка источника

Данное руководство описывает процесс настройки сбора событий Microsoft DNS Server и их отправки в R-Vision SIEM.

Настройка Microsoft DNS Server

Настройка журналирования

В настоящем руководстве рассматривается передача событий с помощью агента платформы R-Vision EVO. Для пересылки событий в R-Vision SIEM установите на узле агент R-Vision EVO.

Журнал Audit

Журнал Microsoft-Windows-DNSServer/Audit включен по умолчанию. Дополнительная настройка не требуется.

Выполните следующие шаги, чтобы проверить наличие событий:

Перейдите в раздел Event Viewer.
Нажмите сочетание клавиш WIN+R.
Введите значение eventvwr.msc.
Нажмите ENTER.
Перейдите в раздел Приложения и службы → Журналы → Microsoft → Windows → DNS-Server.

В разделе DNS-Server находится несколько журналов, включая Audit и Analytical. События в журнале Audit регистрируют изменения конфигурации сервера, зон или записей ресурсов. По ним можно определить, кем и когда были внесены изменения.

microsoft dns server audit eventviewer

Журнал DNS Server

Журнал DNS Server включен по умолчанию. Дополнительная настройка не требуется.

Данный журнал регистрирует события общей работоспособности и основных операций службы DNS:

Запуск и остановка службы — сообщения о том, когда служба DNS-сервера была запущена или остановлена.
Ошибки и предупреждения — критические системные события, такие как невозможность открытия сокета на определенном IP-адресе (Event ID 408), проблемы с загрузкой зон, ошибки репликации Active Directory (если DNS интегрирован с AD).
Основные операции — уведомления об успешных динамических обновлениях записей (dynamic updates), изменениях зоны или операциях DNSSEC.

microsoft dns server eventviewer

Настройка уровня логирования

Вы можете указать необходимый уровень логирования DNS-сервера, для этого:

Откройте оснастку DNS Manager.
В контекстном меню требуемого DNS-сервера выберите пункт Properties.
В появившемся окне перейдите на вкладку Event Logging и выберите необходимый уровень логирования.
Нажмите на кнопку OK.

Настройка в R-Vision SIEM

Настройка отправки событий в R-Vision SIEM

Для отправки событий источника в R-Vision SIEM выполните следующие шаги:

В веб-интерфейсе R-Vision SIEM перейдите в раздел Агенты → Группы агентов.
Создайте группу и добавьте в нее узел, на котором установлен агент.
В созданной группе узлов в секции Чтение файлов нажмите на кнопку Добавить настройку ().
В выпадающем списке Тип журнала выберите вариант eventchannel.
В поле Имя журнала введите значение DNS Server.
Если необходимо выбирать события по определенным критериям, введите в поле Фильтр (формат XPATH) выражение XPath. Если фильтр не нужен, введите символ *.
Добавьте второй журнал с названием Microsoft-Windows-DNS-Server/Audit и аналогичными настройками.
Нажмите на кнопку Сохранить и применить.
Дождитесь применения политики группы на узле. Сбор событий настроен.

Настройка обработки событий в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант R-Vision Endpoint.
- Домен: введите значение в формате gw-<your_gateway_id>, где <your_gateway_id> — ID шлюза.
Добавьте на конвейер элемент Нормализатор с правилами Microsoft DNS Audit (идентификатор правила: RV-N-249) и Microsoft DNS Server Service (идентификатор правила: RV-N-251).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

microsoft dns server pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Microsoft DNS Server.

Найти события Microsoft DNS Server в хранилище можно по следующему фильтру:

device_product = "dns_server"

Была ли полезна эта страница?