BIND9 DNS

Overview

Pack cung cấp khả năng giám sát bảo mật DNS server chạy ISC BIND9, bao gồm:

• Parser — chuẩn hóa log từ 3 channel BIND9 (queries, security, notify) sang ECS
• 5 streaming rules — phát hiện blocked query, TXT/ANY record abuse, zone transfer, query từ IP ngoài
• 2 correlation rules — phát hiện DNS query flood và blocked query burst
• 1 dashboard — 12 chart giám sát SOC DNS

Yêu cầu trước khi cài đặt

Cấu hình BIND9 logging tối thiểu

logging {
    channel query_log    { file "/var/log/named/query.log";    print-time yes; severity dynamic; };
    channel security_log { file "/var/log/named/security.log"; print-time yes; severity dynamic; };
    channel notify_log   { file "/var/log/named/notify.log";   print-time yes; severity dynamic; };
    category queries  { query_log;    };
    category security { security_log; };
    category notify   { notify_log;   };
};

Định dạng log bắt buộc

{
  "message": "<raw BIND9 log line>",
  "timestamp": "2026-01-15T10:05:31.423Z",
  "host": "bind9-server-01"
}

Parser đọc timestamp cho event time, host → host.hostname, message → toàn bộ nội dung log.

Ví dụ log hợp lệ

Query log — DNS query bình thường:

{"timestamp":"2026-01-15T10:05:31.423Z","message":"22-Jan-2024 10:05:31.423 queries: info: client @0x7f1234 192.168.1.100#54321 (example.com): query: example.com IN A +E(0)KDC (10.0.0.1)","host":"bind9-server-01"}

Security log — query bị blocked:

{"timestamp":"2026-01-15T10:05:32.123Z","message":"22-Jan-2024 10:05:32.123 security: error: client @0x7f5678 192.0.2.15#12345 (malicious.com): query (cache) 'malicious.com/A/IN' denied","host":"bind9-server-01"}

Notify log — zone transfer notification:

{"timestamp":"2026-01-15T10:10:00.000Z","message":"22-Jan-2024 10:10:00.000 notify: info: zone example.com/IN: sending notifies (serial 2024012201)","host":"bind9-server-01"}

Parser phân biệt loại log qua từ khóa queries:, security:, notify: trong message.

Cài đặt

1. Vào Marketplace → tìm "BIND9 DNS Security" → Install
2. Kiểm tra Parsers → bind9-parser đang active
3. Kiểm tra Detection Rules → filter tag BIND9 → 7 rules đang enabled
4. Mở Dashboards → BIND9 DNS Security Overview

Parser — Các trường ECS chính

Detection Rules

Streaming Rules (5 rules — real-time)

Correlation Rules (2 rules — pattern)

Dashboard — BIND9 DNS Security Overview

SOC Triage nhanh:

1. Metrics 3–4 → tỷ lệ blocked/total cao → DNS server đang bị probe hoặc misconfigured
2. Chart 9 → một IP bị block nhiều → threat intelligence check ngay
3. Chart 7 → TXT/ANY chiếm tỷ cao → nghi ngờ DNS tunneling hoặc amplification
4. Table 11 → xác nhận domain bị block và IP nguồn

Troubleshooting

Checklist parser:

• Tag vendor = bind9
• JSON có đủ message, timestamp (ISO 8601), host
• BIND9 đã cấu hình 3 channel: queries, security, notify
• bind9-parser.yaml đang active

Hỗ trợ

• Lỗi platform: Mở ticket tại SecOps support portal
• Góp ý pack: Dùng tính năng feedback trên trang Marketplace
• Tuning rule: Slack #detection-engineering

Last updated: 2026-06-04 · Vendor: ISC · Author: secops-team