Stream en filter gegevens van Windows DNS-servers met de AMA-connector

In dit artikel wordt beschreven hoe u de AMA-connector (Azure Monitor Agent) gebruikt om gebeurtenissen uit uw DNS-serverlogboeken (Windows Domain Name System) te streamen en te filteren. Vervolgens kunt u uw gegevens grondig analyseren om uw DNS-servers te beschermen tegen bedreigingen en aanvallen. De AMA en de BIJBEHORENDE DNS-extensie worden geïnstalleerd op uw Windows Server om gegevens uit uw analytische DNS-logboeken te uploaden naar uw Microsoft Sentinel werkruimte.

DNS is een veelgebruikt protocol dat een koppeling legt tussen hostnamen en door computers leesbare IP-adressen. Omdat DNS niet is ontworpen met het oog op beveiliging, is de service zeer gericht op schadelijke activiteiten, waardoor de logboekregistratie een essentieel onderdeel is van de beveiligingsbewaking. Enkele bekende bedreigingen die gericht zijn op DNS-servers, zijn DDoS-aanvallen gericht op DNS-servers, DNS DDoS-versterking, DNS-kaping en meer.

Hoewel er enkele mechanismen zijn geïntroduceerd om de algehele veiligheid van het DNS-protocol te verbeteren, zijn DNS-servers nog steeds een zeer gerichte dienst. Organisaties kunnen DNS-logboeken controleren om meer inzicht te krijgen in de netwerkactiviteit en om verdacht gedrag of aanvallen te identificeren die gericht zijn op resources binnen het netwerk. De Windows DNS Events via AMA-connector biedt inzicht in DNS-netwerkactiviteit en verdacht gedrag. Gebruik de connector bijvoorbeeld om clients te identificeren die schadelijke domeinnamen proberen op te lossen, het laden van aanvragen op DNS-servers te bekijken en te bewaken of dynamische DNS-registratiefouten te bekijken.

Opmerking

De Windows DNS-gebeurtenissen via de AMA-connector ondersteunen alleen analytische loggebeurtenissen.

Vereisten

Controleer voordat u begint of u het volgende hebt:

  • Een Log Analytics-werkruimte die is ingeschakeld voor Microsoft Sentinel.
  • De gegevensconnector voor Windows DNS-gebeurtenissen via AMA die wordt geïnstalleerd als onderdeel van de Windows Server DNS-oplossing uit de Content Hub.
  • Windows Server 2016 en hoger worden ondersteund of Windows Server 2012 R2 met de hotfix voor controle.
  • De DNS-serverfunctie is geïnstalleerd met DNS-Server-analytische gebeurtenislogboeken ingeschakeld. Dns Analytische gebeurtenislogboeken zijn niet standaard ingeschakeld. Zie Logboekregistratie van analytische gebeurtenissen inschakelen voor meer informatie.

Als u gebeurtenissen wilt verzamelen van een systeem dat geen Azure virtuele machine is, moet u ervoor zorgen dat Azure Arc is geïnstalleerd. Installeer en schakel Azure Arc in voordat u de op Azure Monitor Agent gebaseerde connector inschakelt. De installatievereiste van Azure Arc geldt voor:

  • Windows-servers die zijn geïnstalleerd op fysieke machines
  • Windows-servers die zijn geïnstalleerd op on-premises virtuele machines
  • Windows-servers die zijn geïnstalleerd op virtuele machines in niet-Azure clouds

De Windows DNS via AMA-connector configureren via de portal

Gebruik de instellingsoptie van de portal om de connector te configureren met behulp van één regel voor gegevensverzameling (DCR) per werkruimte. Daarna kunt u geavanceerde filters gebruiken om specifieke gebeurtenissen of informatie te filteren, waarbij u alleen de waardevolle gegevens uploadt die u wilt bewaken, waardoor de kosten en het bandbreedtegebruik worden verminderd.

Als u meerdere DCR's moet maken, configureert u de connector via de API . Als u de API gebruikt om meerdere DCR's te maken, wordt er nog steeds slechts één DCR weergegeven in het portaal.

De connector configureren:

  1. Open in Microsoft Sentinel de pagina Gegevensconnectors en zoek de Windows DNS-gebeurtenissen via de AMA-connector.

  2. Selecteer onder in het zijvenster de optie Verbindingslijnpagina openen.

  3. Selecteer in het gebied Configuratiede optie Regel voor gegevensverzameling maken. U kunt één DCR per werkruimte maken.

    De DCR-naam, het abonnement en de resourcegroep worden automatisch ingesteld op basis van de naam van de werkruimte, het huidige abonnement en de resourcegroep waaruit de connector is geselecteerd. Bijvoorbeeld:

    Schermopname van het maken van een nieuwe D C R voor de Windows D N S via A M A-connector.

  4. Selecteer het tabblad >Resource(s) toevoegen.

  5. Selecteer de VM's waarop u de connector wilt installeren om logboeken te verzamelen. Bijvoorbeeld:

    Schermopname van het selecteren van resources voor de Windows D N S via A M A-connector.

  6. Controleer uw wijzigingen en selecteer Opslaan>Toepassen.

De Windows DNS via AMA-connector configureren via API

Gebruik de api-instellingsoptie om de connector te configureren met behulp van meerdere DCR's per werkruimte. Als u liever één DCR gebruikt, configureert u de connector via de portal .

Als u de API gebruikt om meerdere DCR's te maken, wordt er in het portaal nog steeds maar één DCR weergegeven.

Gebruik het volgende voorbeeld als sjabloon om een DCR te maken of bij te werken:

Aanvraag-URL en header 

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{dataCollectionRuleName}?api-version={latest-supported-version}

Zie Data Collection Rules - REST API (Azure Monitor) voor de meest recente ondersteunde API-versie.

Schermopname van het uiterlijk van de API-versie in de DCR-documentatie.

Hoofdtekst van de aanvraag

Gebruik de volgende voorbeeldaanvraagbody bij het maken van de DCR. Deze nettolading definieert de DCR-eigenschappen, waaronder de locatie, het platformtype, gegevensbronnen, gebeurtenisfilters en de Log Analytics werkruimtebestemming:

{
    "location": "eastus2",
    "kind" : "Windows",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [],
            "extensions": [
                {
                    "streams": [
                        "Microsoft-ASimDnsActivityLogs"
                    ],
                    "extensionName": "MicrosoftDnsAgent",
                    "extensionSettings": {
                        "Filters": [
                            {
                                "FilterName": "SampleFilter",
                                "Rules": [
                                    {
                                        "Field": "EventOriginalType",
                                        "FieldValues": [
                                            "260"
                                        ]
                                    }
                                ]
                            }
                        ]
                    },
                    "name": "SampleDns"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "name" : "WorkspaceDestination",
                    "workspaceId" : "{WorkspaceGuid}",
                    "workspaceResourceId" : "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.OperationalInsights/workspaces/{sentinelWorkspaceName}"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-ASimDnsActivityLogs"
                ],
                "destinations": [
                    "WorkspaceDestination"
                ]
            }
        ],
    },
    "tags" : {}
}

Geavanceerde filters gebruiken in uw DCR's

Gebeurtenislogboeken van DNS-server kunnen een groot aantal gebeurtenissen bevatten. We raden u aan geavanceerde filters te gebruiken om overbodige gebeurtenissen te filteren voordat de gegevens worden geüpload, waardoor kostbare tijd en kosten worden bespaard. De filters verwijderen de overbodige gegevens uit de stroom gebeurtenissen die naar uw werkruimte zijn geüpload en zijn gebaseerd op een combinatie van meerdere velden.

Zie Beschikbare velden voor filteren voor meer informatie.

Geavanceerde filters maken via de portal

Gebruik de volgende procedure om filters te maken via de portal. Zie Geavanceerde filtervoorbeelden voor meer informatie over het maken van filters met de API.

Filters maken via de portal:

  1. Selecteer op de connectorpagina in het gebied Configuratie de optie Filters voor gegevensverzameling toevoegen.

  2. Voer een naam in voor het filter en selecteer het filtertype. Dit is een parameter die het aantal verzamelde gebeurtenissen vermindert. Parameters worden genormaliseerd volgens het genormaliseerde DNS-schema. Zie Beschikbare velden voor filteren voor meer informatie.

    Schermopname van het maken van een filter voor de Windows D N S via A M A-connector.

  3. Selecteer de waarden waarvoor u het veld wilt filteren uit de waarden in de vervolgkeuzelijst.

    Schermopname van het toevoegen van velden aan een filter voor de Windows D N S via A M A-connector.

  4. Als u complexe filters wilt toevoegen, selecteert u Uitsluitingsveld toevoegen om te filteren en voegt u het relevante veld toe.

    • Gebruik door komma's gescheiden lijsten om meerdere waarden voor elk veld te definiëren.
    • Als u samengestelde filters wilt maken, gebruikt u verschillende velden met een AND-relatie.
    • Als u verschillende filters wilt combineren, gebruikt u een OF-relatie tussen de filters.

    Filters ondersteunen ook jokertekens als volgt:

    • Voeg een punt toe na elk sterretje (*.).
    • Gebruik geen spaties tussen de lijst met domeinen.
    • Jokertekens zijn alleen van toepassing op de subdomeinen van het domein, inclusief www.domain.com, ongeacht het protocol. Als u bijvoorbeeld in een geavanceerd filter gebruikt *.domain.com :
      • Het filter is van toepassing op www.domain.com en subdomain.domain.com, ongeacht of het protocol HTTPS, FTP, enzovoort is.
      • Het filter is niet van toepassing op domain.com. Als u een filter wilt toepassen op domain.com, geeft u het domein rechtstreeks op, zonder gebruik te maken van een jokerteken.

  5. Als u meer nieuwe filters wilt toevoegen, selecteert u Nieuw uitsluitingsfilter toevoegen.

  6. Wanneer u klaar bent met het toevoegen van filters, selecteert u Toevoegen.

  7. Terug op de hoofdpagina van de connector selecteert u Wijzigingen toepassen om de filters voor uw connectors op te slaan en te implementeren. Als u bestaande filters of velden wilt bewerken of verwijderen, selecteert u de pictogrammen bewerken of verwijderen in de tabel onder het gebied Configuratie .

  8. Als u velden of filters wilt toevoegen na de eerste implementatie, selecteert u nogmaals Filters voor gegevensverzameling toevoegen .

Geavanceerde filtervoorbeelden

Gebruik de volgende voorbeelden om veelgebruikte geavanceerde filters te maken via de portal of API.

Geen specifieke gebeurtenis-id's verzamelen

Dit filter geeft de connector de opdracht om EventID 256 of EventID 257 of EventID 260 niet te verzamelen met IPv6-adressen.

De Microsoft Sentinel-portal gebruiken:

  1. Maak een filter met het veld EventOriginalType , met behulp van de operator Equals , met de waarden 256, 257 en 260.

    Schermafbeelding van het uitfilteren van gebeurtenis-id's voor de Windows D N S via A M A-connector.

  2. Maak een filter met het veld EventOriginalType dat hierboven is gedefinieerd en gebruik de operator And , inclusief het veld DnsQueryTypeName dat is ingesteld op AAAA.

    Screenshot van het uitfilteren van gebeurtenis-id's en IPv6-adressen voor de Windows D N S over A M A-connector.

De API gebruiken:

De volgende JSON toont de equivalente filterdefinities voor de API. Het eerste filter sluit gebeurtenissen met EventID 256, 257 of 260 uit die een AAAA (IPv6) querytype hebben, en het tweede filter sluit EventID 230 uit met specifieke foutresultatendetails.

"Filters": [
    {
        "FilterName": "SampleFilter",
        "Rules": [
            {
                "Field": "EventOriginalType",
                "FieldValues": [
                    "256", "257", "260"                                                                              
                ]
            },
            {
                "Field": "DnsQueryTypeName",
                "FieldValues": [
                    "AAAA"                                        
                ]
            }
        ]
    },
    {
        "FilterName": "EventResultDetails",
        "Rules": [
            {
                "Field": "EventOriginalType",
                "FieldValues": [
                    "230"                                        
                ]
            },
            {
                "Field": "EventResultDetails",
                "FieldValues": [
                    "BADKEY","NOTZONE"                                        
                ]
            }
        ]
    }
]

Geen gebeurtenissen met specifieke domeinen verzamelen

Met dit filter wordt de connector geïnstrueerd om geen gebeurtenissen te verzamelen van subdomeinen van microsoft.com, google.com, amazon.com of gebeurtenissen van facebook.com of center.local.

De Microsoft Sentinel-portal gebruiken:

Stel het veld DnsQuery in met behulp van de operator Equals , met de lijst *.microsoft.com,*.google.com,facebook.com,*.amazon.com,center.local.

Bekijk deze overwegingen voor het filteren van jokertekens in DNS AMA-domeinfilters.

Schermafbeelding van het uitfilteren van domeinen voor de Windows D N S over A M A-connector.

Als u verschillende waarden in één veld wilt definiëren, gebruikt u de operator OR .

De API gebruiken:

De volgende JSON toont het equivalente domeinuitsluitingsfilter voor de DCR API-payload, waarbij DNS-querygebeurtenissen die overeenkomen met specifieke domeinen en hun subdomeinen worden uitgesloten. Bekijk deze overwegingen voor het filteren van jokertekens in DNS AMA-domeinfilters.

"Filters": [ 
    { 
        "FilterName": "SampleFilter", 
        "Rules": [ 
            { 
                "Field": "DnsQuery", 
                "FieldValues": [ 
                    "*.microsoft.com", "*.google.com", "facebook.com", "*.amazon.com","center.local"                                                                               
                ]
            }
        ]
    }
]

Normalisatie met behulp van ASIM

Deze connector is volledig genormaliseerd met behulp van ASIM-parsers (Advanced Security Information Model). De connector streamt gebeurtenissen die afkomstig zijn van de Windows analytische DNS-logboeken in de genormaliseerde tabel met de naam ASimDnsActivityLogs. Deze tabel fungeert als een vertaler, met behulp van één uniforme taal, die wordt gedeeld met alle DNS-connectors die er nog komen.

Voor een bron-agnostische parser waarmee alle DNS-gegevens worden samengevoegd en ervoor zorgt dat uw analyse wordt uitgevoerd op alle geconfigureerde bronnen, gebruikt u de parseerfunctie voor ASIM DNS-unifying._Im_Dns

De ASIM unifying parser vormt een aanvulling op de systeemeigen ASimDnsActivityLogs tabel. Hoewel de systeemeigen tabel compatibel is met ASIM, is de parser nodig om mogelijkheden toe te voegen, zoals aliassen, die alleen beschikbaar zijn tijdens query's en om te combineren ASimDnsActivityLogs met andere DNS-gegevensbronnen.

Het ASIM DNS-schema vertegenwoordigt de ACTIVITEIT van het DNS-protocol, zoals vastgelegd in de Windows DNS-server in de analytische logboeken. Het schema wordt beheerd door officiële parameterlijsten en RFC's die velden en waarden definiëren.

Zie de lijst met Windows DNS-servervelden die zijn vertaald in de genormaliseerde veldnamen.

Verwante onderwerpen

In dit artikel hebt u geleerd hoe u de Windows DNS-gebeurtenissen via de AMA-connector instelt om gegevens te uploaden en uw Windows DNS-logboeken te filteren. Zie de volgende artikelen voor meer informatie over Microsoft Sentinel:

  • Last updated on