ส่ง Log ของ Windows DNS Server เข้า Athena XDR ผ่าน NXLog และ XDR Broker

เครื่องของผู้ใช้ส่วนใหญ่ถามชื่อโดเมนผ่าน DNS Server ภายในก่อนออกอินเทอร์เน็ต Traffic ขาออกที่ไฟร์วอลล์จึงเห็น DNS Server เป็นต้นทาง แต่ Log ของ DNS Server บอกได้ว่าเครื่องใดเป็นผู้ถามจริง บทความนี้อธิบายการส่ง Log คำถาม DNS จาก Windows DNS Server เข้า Sangfor Athena XDR (SaaS) โดยให้ DNS เขียน Log ลงไฟล์ แล้วใช้ NXLog Community Edition ส่งไฟล์นั้นเป็น Syslog ไปยัง XDR Broker สำหรับผู้ดูแลระบบที่ติดตั้ง Broker เรียบร้อยแล้ว

เพิ่ม DNS Server ใน Athena XDR

1. ไปที่ Configuration › Connection › Device Connection › Third-Party Devices › Connected Devices แล้วกด Add

   

2. ขั้น Capability Selection: ที่ Device Type พิมพ์ Windows DNS แล้วเลือก Microsoft/Windows DNS Log กรอก Name (ใช้ "_" แทน "-" เช่น HQ_DNS01) และ Version ของ Windows Server เลือก Connection Mode เป็น Broker Connection เลือก Broker แล้วติ๊ก Log Ingestion

   

3. กด Next ขั้น Log Ingestion: ตั้ง Connection Method เป็น Syslog กรอก Src IP เป็น IPv4 ของ DNS Server ตรวจ Reporting Error แล้วเปิด Advanced ให้ Encoding Format เป็น UTF-8 และ Data Transfer เป็น Direct Transfer แผง Operation Guide ด้านขวามีขั้นตอนฝั่ง DNS Server ตั้งแต่ Debug Logging จนถึงการสตาร์ท NXLog

   

4. กด OK แถวของ DNS Server จะขึ้นในรายการ Connected Devices ป้าย Log Ingestion เป็นสีเทาจนกว่า Log จะเริ่มเข้า

   

เปิด Debug Logging บน Windows DNS

1. บน DNS Server เปิดหน้าต่าง Run แล้วสั่ง dnsmgmt.msc กด OK เพื่อเปิด DNS Manager

   

2. ใน DNS Manager คลิกขวาที่ชื่อ Server แล้วเลือก Properties จากนั้นเปิดแท็บ Debug Logging

   

3. ติ๊ก Log packets for debugging และเลือกตัวเลือกให้ครอบคลุมคำถามและคำตอบ:

   • Packet direction: Outgoing และ Incoming
   • Transport protocol: UDP และ TCP
   • Packet contents: Queries/Transfers
   • Packet type: Request และ Response

   เว้น Updates และ Details ไว้ Log จะเป็นบรรทัดสั้น หนึ่งบรรทัดต่อหนึ่งคำถาม

4. กรอก File path and name เช่น C:\Users\dns.txt แล้วกด OK จากนี้ DNS จะบันทึกทุกคำถามพร้อม IP ของเครื่องที่ถามลงไฟล์นี้

   

ติดตั้งและตั้งค่า NXLog

1. ที่หน้าดาวน์โหลดของ NXLog เลือก Version NXLog Community Edition เลือก Platform เป็น Windows แล้วติ๊กไฟล์ Windows x86-64 (.msi) และกด Download

   

2. หากมีหน้าต่างชวนสมัครสมาชิกขึ้นมา กดลิงก์ No thanks, just start my download. ด้านล่างเพื่อเริ่มดาวน์โหลด

   

3. เปิดไฟล์ติดตั้ง กด Next ติ๊กยอมรับ NXLOG PUBLIC LICENSE แล้วกด Next ใช้โฟลเดอร์ติดตั้งตามค่าเริ่มต้น C:\Program Files\nxlog\

   

4. กด Next แล้วกด Install เมื่อติดตั้งเสร็จกด Finish

   

5. เปิดไฟล์ตั้งค่าด้วยสิทธิ์ผู้ดูแล เช่น สั่งจากหน้าต่าง Run ที่มีสิทธิ์ผู้ดูแล หรือจาก Command Prompt แบบ Run as administrator:

   notepad "C:\Program Files\nxlog\conf\nxlog.conf"

   

6. เลื่อนไปท้ายไฟล์ แล้วเพิ่ม 3 ส่วนต่อท้าย โดยเปลี่ยนพาธไฟล์ Log และ IP ของ Broker ให้ตรงกับขององค์กร

   <Input in>
       Module      im_file
       File        'C:\Users\dns.txt'
   </Input>
   
   <Output out>
       Module      om_udp
       Host        <IP ของ Broker>
       Port        514
   </Output>
   
   <Route route>
       Path        in => out
   </Route>

   ส่วน Input ใช้โมดูล im_file อ่านไฟล์ Log ของ DNS ส่วน Output ใช้ om_udp ส่งไปที่ Broker พอร์ต 514 และส่วน Route เชื่อม Input เข้ากับ Output จากนั้นเลือก File › Save แล้วปิด Notepad

   

7. บริการ NXLog ทำงานอยู่แล้วหลังติดตั้ง ให้เปิด Command Prompt แบบ Administrator แล้วหยุดและสตาร์ทบริการใหม่เพื่อให้อ่านค่าที่แก้ จากนั้นตรวจว่า STATE เป็น RUNNING

   sc stop nxlog
   sc start nxlog
   sc query nxlog

   

ตรวจสอบผลและค้นหา Log ของ DNS

1. ที่ Console ของ Broker เปิด Packet Capture กด Add เลือก Interface eth0 กรอก IP Address ของ DNS Server และ Port 514 แล้วกด OK

   

2. รอสักครู่แล้วกด Stop ไฟล์ที่ขึ้นสถานะ Captured และมีขนาด แสดงว่า Log มาถึง Broker แล้ว

   

3. ที่ Third-Party Devices › Connected Devices แถวของ DNS Server ประเภท Windows DNS Log ต้องมีป้าย Log Ingestion สีเขียว และ Logs Ingested Today เพิ่มขึ้น

   

4. ค้นหาว่าเครื่องใดถามหาโดเมนที่สนใจได้ที่ Detections › Security Logs โดยกรอกคำสั่ง SPL เช่น

   ReportingDevice = "Windows DNS Log" and dnsQueryName = "www.sangfor.com"

   เลือกช่วงเวลาที่ต้องการ เช่น Last 7 days แล้วกด Search ผลลัพธ์แสดงทั้งคำถามจากเครื่องผู้ใช้ไปยัง DNS Server และคำตอบที่ DNS Server ส่งกลับ ช่อง Src IP / Dst IP บอก IP ของเครื่องที่ถาม

   

5. คลิกรายการเพื่อเปิด Log Details ส่วน Forensics แสดง Domain Name Queried และชนิดของคำถาม (เช่น A หรือ AAAA)

   

เมื่อพบว่าโดเมนที่ถูกถามเป็นโดเมนอันตราย ทีม SOC จะรู้ทันทีว่าเครื่องใดเป็นผู้ถาม รายละเอียดการค้นหาดูได้ที่ Security Logs บน Athena XDR และ การค้นหา Log ด้วย SPL

DNS Server บน Linux (BIND)

หาก DNS Server ขององค์กรเป็น BIND บน Linux ให้เลือก Device Type BIND9 DNS Log (Vendor Linux) ใน XDR แล้วใช้ rsyslog ส่ง Log คำถาม DNS ไปที่ Broker:

1. สำรองไฟล์ /etc/named.conf แล้วเพิ่มการบันทึกคำถาม DNS ไปยัง syslog facility local3 ในส่วน logging

   logging {
           channel query_log {
                   syslog local3;
                   severity info;
                   print-time yes;
                   print-category yes;
           };
           category queries { query_log; };
   };

   จากนั้นสั่ง systemctl restart named

2. สำรองไฟล์ /etc/rsyslog.conf แล้วเพิ่มบรรทัดส่งต่อ Log ของ local3 ไปที่ Broker พอร์ต 514 (@@ = TCP, @ = UDP)

   local3.* @@<IP ของ Broker>:514

   จากนั้นสั่ง systemctl restart rsyslog แล้วตรวจผลแบบเดียวกับ Windows

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร