日志溯源53 条

DNS 查询日志溯源

DNS 查询日志回答哪台主机在何时解析了哪个域名：解析恶意域名的主机就是下一批排查对象。

用途	由域名反查内网主机
来源	BIND querylog / dnsmasq / Windows DNS 调测日志

BIND 开日志

rndc querylog on
# dnsmasq: log-queries 开启后见 /var/log/dnsmasq.log
grep -i 'malicious.example' dnsmasq.log

先按域名聚集客户端 IP，再看这些 IP 的其他行为。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌