Registros de consultas y señales de abuso

Un registro útil guarda, por cada consulta, quién la hizo (el cliente), qué preguntó (el nombre y el tipo) y qué se le respondió (el código: NOERROR si el nombre existe, NXDOMAIN si no). Sin el cliente puedes saber que un nombre raro se consultó, pero no desde qué equipo; sin el código no distingues lo que existe de lo que no.

También cuenta el tiempo que se conserva. Un incidente se descubre a menudo semanas después del hecho, y un registro de dos semanas no alcanza si la política pide noventa días.

Revisar la configuración de registro de todos los servidores es lo primero, porque un solo servidor sin registro es una zona ciega: lo que pase por él no deja rastro. Los autoritativos también importan, porque registran quién pregunta por los nombres de la empresa.

Consulta config_registro.

Cierto programa malicioso no lleva la dirección de su servidor de mando escrita: genera cada día cientos de nombres sin sentido y los pregunta hasta que uno existe. En el registro de un resolutor eso se ve como un cliente con muchísimos nombres distintos, sin repetir, y casi todos NXDOMAIN en pocos minutos. Una persona que escribe mal una dirección no genera eso.

Compara en resumen_1h el porcentaje de NXDOMAIN y los nombres distintos de cada cliente.

Otra señal es el túnel por DNS: un programa que usa las consultas para sacar datos o recibir órdenes, escondidas en el nombre y en la respuesta. En el registro deja un patrón distinto al anterior: casi todo existe (NOERROR), pero hay miles de nombres únicos bajo un mismo dominio base, con etiquetas largas, tipo TXT y respuestas grandes.

Busca en registro y en resumen_1h el cliente que lo cumple y mira su dominio base.

Ya tienes dos equipos con patrones que no son de una persona. El resolutor puede ayudar sin salirse de su papel: bloquear ese dominio para todos o responder con el sumidero, para que el equipo siga intentándolo y se pueda ver. Lo que no debe hacer es borrar el registro ni reiniciar el servidor, que son justo la evidencia. La investigación del equipo la lleva el SOC.