Как записать днс логи с Windows server на систему сбора логов?

Question

[Фрол Шмелев]

Какую бесплатную систему сбора логов лучше использовать для сбора логов с днс сервера (Windows server)?

Comments

[Михаил Лялин]

Конечная цель логирования? Другие логи будете собирать и анализировать? Платформа для системы логирования?

Answer 1

[Довольный Айтишникъ]

winlogbeat собирает логи с виндовых журналов и отправляет на graylog сервер. Из каких журналов брать логи - указывается в конфиге. Всё бесплатное.

Например у меня в конфиге указаны следующие журналы:

winlogbeat.event_logs:

  - name: Application
    ignore_older: 48h

  - name: System

  - name: Security
    processors:
      - rate_limit:
          when.equals.winlog.event_id: 4624
#          when.equals.winlog.event_id: 4776
          limit: "5/m"

  - name: Microsoft-Windows-Sysmon/Operational

  - name: Windows PowerShell
    event_id: 400, 403, 600, 800

  - name: Microsoft-Windows-PowerShell/Operational
    event_id: 4103, 4104, 4105, 4106

  - name: ForwardedEvents
    tags: [forwarded]
    
  - name: DNS Server

Comments

[Фрол Шмелев]

Нам необходимо логировать каждый днс запрос, для поиска хостов, которые обратились к запрещенным сайтам - например, на машине пользователя майнинг вирус. Сеть большая с большим зоопарком ОС, вообщем бардак.
В вашей конфигурации логируются только события днс сервера, но не все днс запросы?

[Руслан Федосеев]

Эта конфигурация отвечает за передачу событий из лога винды во внешнюю систему.
А вам кроме этого надо еще настроить логирование в параметрах днс сервера.

[Довольный Айтишникъ]

Фрол Шмелев, уровень логирования настраивается в ОС, в данном примере логи из журнала только отправляются на лог сервер.