Anwendungsbeispiele on PowerShell Modul DNSServer.DebugLogParser

Geplantes Aufgaben-Beispiel

Mon, 01 Jan 0001 00:00:00 +0000

Dieses Skript erstellt eine Windows-Geplante Aufgabe, die täglich um 2:00 Uhr morgens ausgeführt wird. Es importiert das Modul und verarbeitet alle Protokolldateien im Ordner, in dem das Skript ausgeführt wird (in diesem Beispiel “C:\Administration\Logs\DNS”). Der Prozess komprimiert die Ausgabe in ZIP-Dateien und entfernt die Originaldateien, um Ordnung zu halten.

$actionParams = @{
 Execute = "powershell.exe"
 Argument = '-ExecutionPolicy RemoteSigned -Command "Import-Module DNSServer.DebugLogParser; Get-ChildItem .\*.log | Sort-Object lastwritetime, Name -Descending | Convert-DNSDebugLogFile -ComputerName $env:COMPUTERNAME -Delimiter \";\" -OutputType Both -ContextFilter Packet -OutputCulture sv-SE -CompressOutput"'
 WorkingDirectory = "C:\Administration\Logs\DNS"
}
$Action = New-ScheduledTaskAction @actionParams

$Trigger = New-ScheduledTaskTrigger -Daily -At "2:00AM"

Register-ScheduledTask -TaskName "Process DNS Logs" -Action $Action -Trigger $Trigger -Description "Convert DNS debug logs to CSV daily"

Praktische Anwendung in einer Domänenumgebung (GPO-gesteuerte Sammlung und Konvertierung)

Mon, 01 Jan 0001 00:00:00 +0000

Dieses Dokument beschreibt ein praktisches, durchgängiges Beispiel für den Einsatz von DNSServer.DebugLogParser in einer Active Directory-Domänenumgebung, mit Fokus auf die Konvertierung von Windows DNS Server-Debug-Protokollen auf Domänencontrollern.

Dieses Beispiel wird von einem ZIP-Archiv begleitet, das die Richtlinien-Artefakte enthält, die zur Umsetzung des hier beschriebenen Workflows verwendet werden.
Die wichtigsten Artefakte sind das Backup-Manifest, der GPO-Bericht, die Files.xml, das Set-DNSServerDebugLogging.ps1 und die ScheduledTasks.xml.

Szenario

Mehrere Domänencontroller (DCs) hosten die DNS-Serverrolle.
DNS-Debug-Protokollierung ist auf jedem DC aktiviert und wird konsistent über eine geplante Aufgabe konfiguriert (Protokolldateien werden nach C:\Administration\Logs\DNSServer geschrieben).
Ein zentral verwalteter Prozess konvertiert die Protokolle in CSV für:
- Sicherheitsanalysen
- Betriebsberichte
- Fehlerbehebung
- Compliance/Aufbewahrung

Zielergebnisse

Einheitliche Konvertierungseinstellungen auf allen DCs
Vorhersehbarer Ausgabeort und -namen
Optionale Komprimierung zur Reduzierung des Speicherbedarfs
Optionale Statistik-Ausgaben für schnelle tägliche Zusammenfassungen
Minimales Risiko auf dem Host mit expliziten Wiederholungs- und Bereinigungsüberlegungen

Vorgeschlagene Architektur

Sammelmodell: lokale Konvertierung + zentrale Abholung

Jeder DC schreibt DNS-Debug-Protokolle mit aktivierter Rollierung auf die Festplatte.
Jeder DC konvertiert die rotierten *.log-Dateien in eine Daten-CSV und Statistik-CSVs und komprimiert die Ausgaben dann zeitgesteuert (Task Scheduler) zu *.zip.
Die Ausgaben werden neben den Protokolldateien abgelegt, damit die Pipeline einfach bleibt.
Ein zentraler Server sammelt die *.zip-Ausgaben, z. B. über Dateifreigabe, geplante Kopie, SIEM-Forwarder oder einen agentenbasierten Collector.

Dieses Modell minimiert Netzwerkzugriffe auf große Rohprotokolle und hält die Verarbeitung nahe an den Daten.

Sicherheitsanalyse-Workflow mit SQL Server

Mon, 01 Jan 0001 00:00:00 +0000

Dieses Beispiel zeigt einen praktischen Workflow für Sicherheitsanalysen: Ein DNS-Debug-Log wird mit Convert-DNSDebugLogFile geparst, die erzeugte CSV-Datei in SQL Server importiert und eine Abfrage ausgeführt, die ungewöhnlich hohe Mengen an TXT-Record-Abfragen hervorhebt.

Für beste Interoperabilität schreibt dieses Beispiel Zeitstempel in einem ISO-ähnlichen Format, indem -OutputCulture 'sv-SE' verwendet wird.

Erforderliche Module

Dieses Beispiel verwendet folgende PowerShell-Module:

DNSServer.DebugLogParser
SqlServer

Installiere sie bei Bedarf:

Install-Module -Name DNSServer.DebugLogParser -Scope CurrentUser
Install-Module -Name SqlServer -Scope CurrentUser

Szenario

Nutze diesen Workflow, wenn du geparste DNS-Debug-Log-Daten in SQL Server verschieben möchtest, um: