Ermanno Goletto
Roberto MassaMonitoraggio avanzato del Server DNS
Il servizio DNS è diventato uno dei cardini delle varie infrastrutture Aziendali, Active Directory si “appoggia” sul Name Server per tutta la componente Kerberos e non solo.
Le varie applicazioni aziendali hanno riferimenti FQDN anche all’interno dell’infrastruttura e del perimetro di rete Aziendale, e la navigazione Internet, da sempre richiede tale servizio.
Il DNS, appunto perché è utilizzato per la navigazione, può in qualche modo, chiaramente non da solo, fornire indicazioni su quelli che possono essere tentativi di risoluzione di siti malevoli.
Infatti alcune soluzioni commerciali di protezione si basano proprio su una gerarchia di questo servizio, mettendo a disposizione motori che forniscono esclusivamente risoluzioni per host in qualche modo “fidati”.
È interessante la lettura di questo articolo che introduce all’analisi forense dei log relativi al servizio DNS.
Dal punto di vista dell’operatività del servizio, conoscere le query che il DNS deve risolvere, permette anche di effettuare una pulizia di record dichiarati in modo statico e che nel tempo sono diventati assolutamente inutilizzati ed in generale creano soltanto confusione.
Cercheremo in questo articolo di analizzare quelle che sono le modalità di analisi del funzionamento del DNS aziendale andando a rilevare quali e quante sono le richieste che un DNS deve soddisfare nel corso del tempo.
Un’indicazione molto generica di funzionamento, tramite il PowerShell è possibile ottenerla con il cmdlet Get-DnsServerStatistics
Figura 1
Tuttavia, come si può vedere nella figura 1 vengono fornite solo informazioni molto scarne, principalmente sul numero di query effettuate per tipologia di Record ed il loro stato.
In Windows 2016 è disponibile nativamente la funzione “Enhanced DNS logging and diagnostics “un tool integrato che permette una diagnostica profonda sul funzionamento, non solo dal punto di vista della disponibilità del servizio, ma di come questo è utilizzato, le query a cui deve rispondere etc.
Dalla versione 2016, questa funzione è integrata nativamente, ma era già stata introdotta con Windows 2012 R2 per mezzo dell’installazione della KB: 2956577
Attivazione del log analitico del DNS
Di default il sistema non ha attiva questa funzione di tracing, ma deve essere abilitata mediante il registro eventi
Figura 2 attivazione della modalità di Debug
Posizionandosi nel “ramo” del log eventi “Application and Services Logs\Microsoft\Windows\DNS-Server nelle opzioni a disposizione tramite il tasto DX, esiste la possibilità di attivare il “Service and Debug Log” tramite il quale il DNS inizierà a registrare tutta la sua attività.
È importante considerare il fatto che, in installazioni molto grandi le dimensioni del file di log possono rapidamente raggiungere la soglia limite di 4Gb per registro, è bene quindi effettuare un periodo di osservazione al fine di verificare che non si raggiungano situazioni di funzionamento critiche.
Dal momento che ora tutte le attività del DNS sono tracciate nel Registro Eventi è possibile effettuarne un monitoraggio andando ad identificare il tipo di query che viene effettuata, ed anche quali hostname vengono richiesti al DNS.
Come detto in precedenza in questo modo possiamo verificare se e quali record in quanto non utilizzati possono essere con una certa sicurezza rimossi.
Figura 3 dettaglio voce del log di debug
Nella figura 3 è riportato il dettaglio di un elemento del registro eventi relativo ad una ricerca diretta per la risoluzione di www.google.com, siccome il messaggio di log vero e proprio viene archiviato sotto forma di testo è necessario estrapolarne le informazioni, dal punto di vista della diagnostica sono utili i “campi”:
- Source
- Qname
- Qtype
Il primo individua il richiedente la risoluzione, ossia il client del servizio DNS,
il secondo è l’oggetto vero e proprio della richiesta di risoluzione DNS
mentre il “campo” Qtype individua il tipo di query, secondo l’RFC che norma il servizio DNS come riportato in questa tabella
Ricerca degli eventi all’interno del registro
Come detto sopra le informazioni utili alla diagnostica sono salvate sotto forma di stringhe testuali ed in questo caso è molto utile l’utilizzo delle “Espressioni Regolari” per individuare le varie parti del messaggio.
PowerShell dal canto suo dispone di cmd-let per l’accesso al registro e permette l’uso delle Regular Expression nei suoi parametri di ricerca.
Il cmdlet usato in questo esempio per accedere al registro eventi è Get-WinEvent per mezzo del quale vengono rilevati gli eventi del registro di debug
Get-WinEvent -LogName “Microsoft-Windows-DNSServer/Analytical” -oldest
Tramite le opzioni di filtro applicate all’output, possiamo ottenere le informazioni sul tipo di query che vengono sottoposte al server
Get-WinEvent -LogName “Microsoft-Windows-DNSServer/Analytical” -Oldest | Where-Object { $_.Message -match “QTYPE=[0-9]+”} | ForEach-Object {$DnsRecords += $Matches.Values}
Figura 4 rilevazione del tipo di ricerca fatta sul DNS
Lo script riportato sopra rileva il numero di query eseguite sul DNS raggruppate per tipologia
Get-WinEvent -LogName “Microsoft-Windows-DNSServer/Analytical” -Oldest | Where-Object { $_.Message -match “QNAME=.*?; QTYPE=1”} | ForEach-Object {$DnsRecords += $Matches.Values}
Figura 5 rilevazione e raggruppamento dei nomi host richiesti al DNS
Mentre in questo caso sono rilevate le risoluzioni richieste al DNS
Le Espressioni regolari utilizzate al fine della ricerca puntuale delle occorrenze all’interno dei vari messaggi sono riportate qui sotto, e come si vede fanno parte della stringa di ricerca
- QTYPE=[0-9]+
- QNAME=.*?; QTYPE=1
Al fine di essere ragionevolmente sicuro che i parametri di ricerca siano corretti, personalmente utilizzo il sito https://regex101.com/ per verificare che l’espressione applicata sulla stringa dia i risultati voluti. Il sito Regex01 riporta anche le varie indicazioni sulle strutture delle stringhe di ricerca e consente in modo interattivo di verificare la costruzione delle query valutandone la correttezza sintattica.
Nel caso in cui sia necessario monitorare diversi DNS il cmdlet permette di accedere a server remoti tramite l’opzione -computername
Logging di versioni precedenti a Windows Server 2012 R2
Le versioni di Windows Server precedenti la 2012 R2 non permettono la modalità di attivazione del log DNS come visto finora. Per questa tipologia di sistemi è possibile attivare un log su file, funzione che è comunque rimasta anche nelle recenti versioni.
L’attivazione del log avviene tramite lo Snap-in di gestione DNS, alla voce “Debug Logging” spuntando il checkbox, di attivazione del Log.
Figura 6 attivazione log per versioni “legacy”
Sono disponibili ulteriori opzioni, come ad esempio il log delle connessioni in uscita piuttosto che quelle in ingresso, la tipologia di pacchetti, il protocollo di trasporto etc. di default non è necessario attivare il dettaglio in quanto le informazioni di base forniscono già sufficienti indicazioni per determinare eventuali problemi di funzionamento.
Figura 7 DNS log file
Il file di log riporta la descrizione delle varie componenti il log stesso, tuttavia per l’analisi del contenuto del logfile è possibile utilizzare appositi tool free come ad esempio Zedlan
Figura 8 Output Zedlan
Considerazioni
Il servizio DNS è sempre di più uno snodo nevralgico del sistema; il suo monitoraggio, così come la sua manutenzione diventano quindi imprescindibili e le indicazioni riportate sopra non sono sicuramente esaustive ma sono frutto dell’esperienza quotidiana di chi le ha scritte ed hanno lo scopo di fornire al lettore un punto di vista differente sull’approccio alla gestione di questo servizio.
Riferimenti
https://technet.microsoft.com/en-us/library/dn800669(v=ws.11).aspx