Esta es la mejor respuesta, ya que no podemos estar seguros de que el OP (u otros lectores) tengan acceso al servidor DNS, solo a su máquina local. Para responder a la pregunta de @ e-sushi, tome un tcpdump usando la utilidad (consulte la página de manual o una buena cartilla con ejemplos ). Su mejor opción es volcar en un archivo y luego extraer esos datos en Wirehark para su revisión y análisis.
Es posible que no seleccione la interfaz de red de salida de forma predeterminada, por lo que necesita un poco más: tcpdump --list-interfaces, tcpdump udp port 53 --interface (pickone). Considere también la verbosidad:-vv
nobar
9
La forma más fácil es instalar Bind localmente. La instalación predeterminada de la mayoría de las distribuciones de Bind será solo de almacenamiento en caché no autoritativo.
Simplemente agregue un logging {}bloque de configuración (como se describe en la Referencia de configuración de Bind 9 ) y luego configure su sistema para usarlo 127.0.0.1o ::1como el solucionador DNS.
Dado lo grande que es el enlace y su registro de seguridad mediocre, creo que muchas personas dudarían en instalar algo así con el único propósito de iniciar sesión.
jw013
¿No tiene el problema de que los servidores de nombres en /etc/resolv.conf no se usan pero los servidores de nombres deben estar listados explícitamente en la configuración de enlace?
Bananguin
No. /etc/resolv.confes la lista de resolución del sistema. La configuración predeterminada de Bind es buscar los servidores de nombres autorizados y preguntarles. Usted podría desviar todas las peticiones a un servidor específico (o conjunto, como su ISP, OpenDNS o Google Public DNS) pero no es necesario hacerlo en la configuración. Hago esto todo el tiempo. Ni siquiera puedo contar la cantidad de veces que configuré el almacenamiento en caché solo de servidores de nombres.
bahamat
6
dnsmasq es mucho más fácil de configurar como un agregador DNS / demonio de almacenamiento en caché que BIND, y para ese propósito, el rendimiento podría ser mejor. Si activa el inicio de sesión en "depuración", todas las preguntas y respuestas aparecen en lo que se sysloghaya configurado para los mensajes de depuración.
Dnsmasq también hace que sea fácil deshacerse de los anunciantes abusivos y la privacidad de la bolsa de basura que invade los escalofríos "analíticos" al alisar dominios enteros a 127.0.0.1
Si recuerdo correctamente, Snort puede monitorear selectivamente el tráfico según las reglas definidas por el usuario. Sin embargo, Snort no creará registros para las solicitudes de DNS cuando su computadora, es decir, su solucionador, pueda responder la pregunta desde su caché.
./doc/How-it-works.txttcpdump udp port 53tcpdump --list-interfaces,tcpdump udp port 53 --interface (pickone). Considere también la verbosidad:-vvLa forma más fácil es instalar Bind localmente. La instalación predeterminada de la mayoría de las distribuciones de Bind será solo de almacenamiento en caché no autoritativo.
Simplemente agregue un
logging {}bloque de configuración (como se describe en la Referencia de configuración de Bind 9 ) y luego configure su sistema para usarlo127.0.0.1o::1como el solucionador DNS.fuente
/etc/resolv.confes la lista de resolución del sistema. La configuración predeterminada de Bind es buscar los servidores de nombres autorizados y preguntarles. Usted podría desviar todas las peticiones a un servidor específico (o conjunto, como su ISP, OpenDNS o Google Public DNS) pero no es necesario hacerlo en la configuración. Hago esto todo el tiempo. Ni siquiera puedo contar la cantidad de veces que configuré el almacenamiento en caché solo de servidores de nombres.dnsmasq es mucho más fácil de configurar como un agregador DNS / demonio de almacenamiento en caché que BIND, y para ese propósito, el rendimiento podría ser mejor. Si activa el inicio de sesión en "depuración", todas las preguntas y respuestas aparecen en lo que se
sysloghaya configurado para los mensajes de depuración.Dnsmasq también hace que sea fácil deshacerse de los anunciantes abusivos y la privacidad de la bolsa de basura que invade los escalofríos "analíticos" al alisar dominios enteros a 127.0.0.1
fuente
Si recuerdo correctamente, Snort puede monitorear selectivamente el tráfico según las reglas definidas por el usuario. Sin embargo, Snort no creará registros para las solicitudes de DNS cuando su computadora, es decir, su solucionador, pueda responder la pregunta desde su caché.
fuente
Para mostrar y guardar para archivar todas las
Asolicitudes de DNS, ejecute esto:Salida de ejemplo:
fuente