Käyttöesimerkit on PowerShell-moduuli DNSServer.DebugLogParser

Ajoitetun tehtävän esimerkki

Mon, 01 Jan 0001 00:00:00 +0000

Tämä skripti luo Windowsin ajoitetun tehtävän, joka suoritetaan päivittäin klo 2:00. Se tuo moduulin ja käsittelee kaikki lokitiedostot kansiossa, jossa skripti suoritetaan (tässä esimerkissä “C:\Administration\Logs\DNS”). Prosessi pakkaa tuloksen ZIP-tiedostoiksi ja poistaa alkuperäiset tiedostot siisteyden ylläpitämiseksi.

$actionParams = @{
 Execute = "powershell.exe"
 Argument = '-ExecutionPolicy RemoteSigned -Command "Import-Module DNSServer.DebugLogParser; Get-ChildItem .\*.log | Sort-Object lastwritetime, Name -Descending | Convert-DNSDebugLogFile -ComputerName $env:COMPUTERNAME -Delimiter \";\" -OutputType Both -ContextFilter Packet -OutputCulture sv-SE -CompressOutput"'
 WorkingDirectory = "C:\Administration\Logs\DNS"
}
$Action = New-ScheduledTaskAction @actionParams

$Trigger = New-ScheduledTaskTrigger -Daily -At "2:00AM"

Register-ScheduledTask -TaskName "Process DNS Logs" -Action $Action -Trigger $Trigger -Description "Convert DNS debug logs to CSV daily"

Käytännön käyttö toimialueympäristössä (GPO-ohjattu kokoelma ja muunnos)

Mon, 01 Jan 0001 00:00:00 +0000

Tässä dokumentissa esitellään käytännön, päästä päähän -esimerkki DNSServer.DebugLogParserin ajamisesta Active Directory -toimialueympäristössä, keskittyen Windows DNS Serverin vianmäärityslokien muuntamiseen toimialueen ohjaimilla.

Tämän esimerkin mukana on ZIP-arkisto, joka sisältää politiikka-artifaktit työnkulun toteuttamiseen.
Merkittävimmät artifaktit ovat varmuuskopion manifesti, GPO-raportti, Files.xml, Set-DNSServerDebugLogging.ps1 ja ScheduledTasks.xml.

Tilannekuvaus

Useat toimialueen ohjaimet (DC) isännöivät DNS-palvelinroolia.
DNS-vianmääritysloki on otettu käyttöön ja konfiguroitu johdonmukaisesti jokaisella DC:llä ajastetun tehtävän avulla (lokitiedostot tallennetaan polkuun C:\Administration\Logs\DNSServer).
Keskitetysti hallittu prosessi muuntaa lokit CSV-muotoon seuraaviin tarkoituksiin:
- tietoturva-analytiikka
- operatiivinen raportointi
- vianetsintä
- vaatimustenmukaisuus ja säilytys

Tavoitteet

Johdonmukaiset muunnosasetukset kaikilla DC:illä
Ennustettava tulostuspaikka ja nimeäminen
Valinnainen pakkaus tallennustilan säästämiseksi
Valinnaiset tilastotulosteet nopeisiin päivittäisiin yhteenvedonäkymiin
Minimiriskit isäntäpuolella, selkeät uudelleenkäynnistys- ja siivouskäytännöt

Suositeltu arkkitehtuuri

Keräysmalli: paikallinen muunnos + keskitetty haku

Jokainen DC kirjoittaa DNS-vianmäärityslokit levylle rollover-ominaisuus päällä.
Jokainen DC muuntaa kiertävät *.log-tiedostot data-CSV:ksi ja tilastotiedostoiksi, ja pakkaa tulokset *.zip-muotoon ajastetusti (Task Scheduler).
Tulosteet kirjoitetaan lokitiedostojen viereen, jotta putki pysyy yksinkertaisena.
Keskitetty palvelin kerää *.zip-tulosteet esimerkiksi tiedostojakojen kautta, ajastetulla kopioinnilla, SIEM-välityksellä tai agenttipohjaisella kerääjällä.

Tämä malli minimoi suurten raakalukujen verkon lukemisen ja pitää jäsentämisen lähellä dataa.

SQL Server -tietokannan turvallisuusanalyysityönkulku

Mon, 01 Jan 0001 00:00:00 +0000

Tässä esimerkissä näytetään käytännön työnkulku turvallisuusanalytiikkaan: jäsennä DNS-vianmääritysloki Convert-DNSDebugLogFile-komennolla, tuo luotu CSV SQL Serveriin ja suorita kysely, joka korostaa epätavallisen suuria TXT-tietueiden hakumääriä.

Parhaan yhteensopivuuden varmistamiseksi tämä esimerkki kirjoittaa aikaleimat ISO-tyyppisessä muodossa käyttämällä -OutputCulture 'sv-SE'.

Tarvittavat moduulit

Tämä esimerkki käyttää seuraavia PowerShell-moduuleja:

DNSServer.DebugLogParser
SqlServer

Asenna ne tarvittaessa:

Install-Module -Name DNSServer.DebugLogParser -Scope CurrentUser
Install-Module -Name SqlServer -Scope CurrentUser

Tilanne

Käytä tätä työnkulkua, kun haluat siirtää jäsenneltyjä DNS-vianmäärityslokitietoja SQL Serveriin, jotta voit: