Prática recomendada para servidor DNS de cache não consolidado

Question

Temos um servidor de cache do Unbound que foi configurado por outra equipe interna. No entanto, não há registro ativado. Eu não só quero isso habilitado para solucionar problemas de resolução interna de nomes, mas também para alimentar um SIEM e fazer outras análises de tráfego.

Minhas perguntas (e sei que cada ambiente é diferente)

• Existe um "guia de dimensionamento" para que se possa determinar quanto espaço em disco deve ser alocado para o host de armazenamento em cache do DNS?

• Eu suponho que isso pode ser determinado pela verbosidade do log, então com verbosidade: 1 ou verbosidade: 3, etc. como isso entra em jogo?

• Existe mais alguma coisa a considerar além de apenas adicionar a diretiva #logfile ao arquivo .conf?

• para obter os logs não ligados em um syslog / SIEM, suspeito que precisarei usar algo como rsyslog - correto?

Agradecemos antecipadamente por qualquer ajuda ou conselho

    

Answer 1

Os servidores DNS geralmente não registram muitos dados. Para um servidor de nomes em cache, não deve haver muito para registrar. Vou usar meu servidor de bind que é dividido em cérebro e atende consultas da Internet.

• bind logs 200k cobrem mais de seis meses de dados.
• registros de segurança 100k cobrem mais de um mês e meio.
• registros de consulta 10M cobrem a maior parte de uma semana. (Isso foi deixado após a depuração de alguns resultados estranhos quando um servidor upstream enviava dados incorretos.)

Normalmente, você não precisa registrar consultas, especialmente em um servidor de cache.

Os requisitos de memória variam dependendo de quantos domínios diferentes você armazena em cache. No entanto, em um servidor moderno, é improvável que isso seja uma preocupação.