La registrazione DNS è la conservazione dei dati delle query e delle risposte DNS, in modo che i team di sicurezza possano rilevare, indagare e cercare attività malevole. Questi log possono includere il dominio richiesto, il timestamp, l'host di origine, il resolver, il codice di risposta e, a volte, la risposta restituita. Poiché il DNS è utilizzato da quasi tutti i dispositivi, crea un prezioso livello di visibilità su tutta la rete.
Nella sicurezza informatica, i log DNS aiutano a individuare minacce che cercano di confondersi con il traffico normale. Il malware può usare il DNS tunneling, algoritmi di generazione di domini o ricerche sospette per raggiungere server di comando e controllo o spostare dati in modo nascosto. Gli analisti possono individuare raffiche insolite di query, sottodomini lunghi o codificati, domini rari o client che usano resolver inattesi. La registrazione DNS centralizzata supporta anche la risposta agli incidenti mostrando quali sistemi hanno contattato un dominio, quando è iniziata l'attività e se altri host sono stati coinvolti. Senza i log DNS, molte comunicazioni occulte sono molto più difficili da dimostrare.