Über diese Dokumentation on PowerShell Modul DNSServer.DebugLogParser

Übersicht

Mon, 01 Jan 0001 00:00:00 +0000

Windows DNS Server kann ein Debug-Log schreiben. Es ist eine Textdatei, die für Menschen lesbar ist und an einem stark genutzten Domänencontroller täglich um mehrere hundert Megabyte wächst. Diese Kombination macht sie nahezu nutzlos, sobald du eine Frage beantworten willst wie „Welcher Client hat diese Domain letzte Nacht 40.000 Mal abgefragt?“

DNSServer.DebugLogParser verwandelt diese Textdatei in eine CSV-Tabelle. Eine Logzeile wird zu einer Zeile mit benannten Spalten, sodass du sie in Excel öffnen, in Power BI laden, massenhaft in SQL Server einfügen oder an dein SIEM schicken kannst.

Ausgabeformate

Mon, 01 Jan 0001 00:00:00 +0000

Convert-DNSDebugLogFile erzeugt bis zu drei Dateien pro Eingabeprotokoll:

Datei	Enthält	Erstellt bei
`<name>.csv`	Eine Zeile pro geparstem Protokolleintrag	`-OutputType CSV` oder `Both`
`<name>_Statistic.csv`	Tägliche Anzahl der Einträge pro Kontext	`-OutputType Statistic` oder `Both`
`<name>_PacketStatistic.csv`	Tägliche Abfrageanzahl pro Client, Protokoll, Richtung und Eintragstyp	`-OutputType Statistic` oder `Both`

Both ist die Standardeinstellung. Die Ausgabe landet neben der Eingabedatei, sofern du nicht -OutputFile setzt.

Die auf dieser Seite verlinkten Beispieldateien sind echte Konversionsergebnisse, keine Mock-ups. Lade eine herunter und öffne sie in Excel, bevor du dich für ein Pipeline-Design entscheidest.

Parameter und Optionen

Mon, 01 Jan 0001 00:00:00 +0000

Diese Seite erklärt die Optionen in einfacher Sprache und in der Reihenfolge, in der du sie typischerweise brauchst. Es ist ein Leitfaden, keine Spezifikation — die autoritative, immer aktuelle Parameterliste findest du in der Befehlsreferenz und in:

Get-Help Convert-DNSDebugLogFile -Full

Die Kurzfassung

Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log"

Diese eine Zeile liefert dir schon ein sinnvolles Verhalten: sowohl Daten- als auch Statistikdateien, Semikolon als Trennzeichen, das Datumsformat deiner Maschine, Header-Validierung an, Quell-Log bleibt unverändert. Alles Weitere ist Feintuning.

Performance

Mon, 01 Jan 0001 00:00:00 +0000

DNS-Debug-Logs auf einem stark genutzten Domänencontroller sind groß. Convert-DNSDebugLogFile ist genau für diesen Fall gemacht: Es wurde mit Logs von 100 MB und mehr getestet und verarbeitet sie in Minuten auf gewöhnlicher Server-Hardware.

Warum es so schnell ist

Du musst das nicht wissen, um das Modul zu nutzen, aber es erklärt das Verhalten, das du beobachten wirst.

Technik	Effekt, den du bemerkst
`StreamReader` / `StreamWriter` mit 64 KB Puffern	Die Datei wird in Stücken gelesen und geschrieben, statt mit einem großen `Get-Content`
Streaming, ein Durchlauf	Der Speicherverbrauch bleibt ungefähr konstant, egal wie groß das Log ist
String-Operationen (`.Substring()`, `.IndexOf()`) statt regulärer Ausdrücke	Deutlich weniger CPU pro Zeile, und es sind Millionen von Zeilen
CSV wird manuell geschrieben statt mit `Export-Csv`	Kein Overhead durch Objekt-Pipeline pro Datensatz
Hashtable-basierte Aggregation für Statistiken	Zusammenfassungen kosten während des gleichen Durchlaufs fast nichts extra

Die wichtige Konsequenz: Das gesamte Log wird nie komplett im Speicher gehalten. Ein 500 MB großes Log braucht nicht 500 MB RAM. Das ist der Unterschied zwischen dem Modul und dem „Datei lesen, splitten, Objekte bauen“-Ansatz, den die meisten selbstgebastelten Skripte verwenden – dieser Ansatz funktioniert bei einer 5 MB Probe gut, aber bei einem echten DC bricht er zusammen.

Integration mit Analysetools

Mon, 01 Jan 0001 00:00:00 +0000

Der Sinn der Konvertierung eines DNS-Debug-Logs liegt im, was danach passiert. CSV wurde gewählt, weil es von allem gelesen wird – aber „alles liest CSV“ verbirgt zwei Einstellungen, die entscheiden, ob der Import schmerzfrei oder ein Nachmittag voller Fummelei wird.

Zwei Einstellungen, die alles entscheiden

Trennzeichen. Standard ist ;. Behalte es für Excel in Regionen, die das Komma als Dezimaltrennzeichen verwenden. Wechsle zu , für die meisten Datenbanken und Data-Science-Tools. Was auch immer du wählst, sag der importierenden Seite dasselbe.

Operative Best Practices

Mon, 01 Jan 0001 00:00:00 +0000

Ein Protokoll manuell zu konvertieren ist einfach. Es jede Nacht auf jedem Domänencontroller über Jahre hinweg laufen zu lassen, ohne dass jemand hinschaut, erfordert etwas Planung. Das sind die Punkte, die in der Praxis wichtig sind.

1. Konvertiere rotierte Protokolle, nicht das aktive

Aktiviere die Protokollrotation auf dem DNS-Server und konvertiere nur geschlossene Dateien. Das Modul kann das Protokoll lesen, in das der DNS-Server gerade schreibt, aber diese Datei ändert sich während der Konvertierung: die neuesten Einträge können fehlen und der letzte Eintrag kann abgeschnitten sein. Zwei Durchläufe liefern zwei unterschiedliche Ergebnisse.

Fehlerbehebung

Mon, 01 Jan 0001 00:00:00 +0000

„Die Datei ist keine gültige DNS-Debug-Logdatei“

Die Header-Prüfung hat die Eingabe abgelehnt. Meistens ist der Pfad einfach falsch — eine .log-Datei im gleichen Ordner, die kein DNS-Debug-Log ist, oder eine Datei, die nur einen rotierten Header enthält.

Arbeite das Folgende durch:

Öffne die Datei. Ein DNS-Debug-Log beginnt mit einer Header-Zeile wie Message logging started at … und enthält danach mit Zeitstempel versehene Abfrageeinträge.
Bestätige, dass das DNS-Debug-Logging tatsächlich aktiviert ist und in den erwarteten Pfad schreibt: