DNSServer.DebugLogParser on Modulo PowerShell DNSServer.DebugLogParser

Panoramica

Mon, 01 Jan 0001 00:00:00 +0000

Windows DNS Server può scrivere un log di debug. È un file di testo semplice, pensato per essere letto da un umano, e cresce di centinaia di megabyte al giorno su un controller di dominio molto attivo. Questa combinazione lo rende quasi inutile nel momento in cui vuoi rispondere a una domanda come “quale client ha richiesto questo dominio 40.000 volte la scorsa notte?”

DNSServer.DebugLogParser trasforma quel file di testo in una tabella CSV. Una riga di log diventa una riga con colonne nominate, così puoi aprirla in Excel, caricarla in Power BI, inserirla in blocco in SQL Server o inviarla al tuo SIEM.

Formati di Output

Mon, 01 Jan 0001 00:00:00 +0000

Convert-DNSDebugLogFile produce fino a tre file per ogni log di input:

File	Contenuto	Creato quando
`<name>.csv`	Una riga per ogni voce di log analizzata	`-OutputType CSV` o `Both`
`<name>_Statistic.csv`	Conteggio giornaliero dei record per contesto	`-OutputType Statistic` o `Both`
`<name>_PacketStatistic.csv`	Conteggio giornaliero delle query per client, protocollo, direzione e tipo di record	`-OutputType Statistic` o `Both`

Both è il valore predefinito. L’output viene salvato accanto al file di input a meno che non imposti -OutputFile.

Parametri e Opzioni

Mon, 01 Jan 0001 00:00:00 +0000

Questa pagina spiega le opzioni in modo semplice e nell’ordine in cui tipicamente ti serviranno. È una guida, non una specifica — la lista autorevole e sempre aggiornata dei parametri si trova nel riferimento comandi e in:

Get-Help Convert-DNSDebugLogFile -Full

La versione breve

Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log"

Questa singola riga ti dà già un comportamento sensato: sia i file dati che quelli statistici, delimitatore punto e virgola, formato data della tua macchina, validazione dell’intestazione attiva, log sorgente intatto. Tutto il resto è fine-tuning.

Prestazioni

Mon, 01 Jan 0001 00:00:00 +0000

I log di debug DNS su un controller di dominio molto trafficato sono grandi. Convert-DNSDebugLogFile è stato progettato proprio per questo caso: è stato testato con log da 100 MB e oltre, e li elabora in pochi minuti su hardware server ordinario.

Perché è veloce

Non devi sapere nulla di tutto questo per usare il modulo, ma spiega il comportamento che osserverai.

Tecnica	Effetto che noterai
`StreamReader` / `StreamWriter` con buffer da 64 KB	Il file viene letto e scritto a blocchi invece che con un unico grande `Get-Content`
Streaming, singolo passaggio	L’uso di memoria resta più o meno costante indipendentemente dalla dimensione del log
Operazioni su stringhe (`.Substring()`, `.IndexOf()`) invece di espressioni regolari	Molto meno CPU per riga, e ci sono milioni di righe
CSV scritto a mano invece di `Export-Csv`	Nessun overhead di pipeline oggetti per ogni record
Aggregazione basata su Hashtable per le statistiche	I riepiloghi costano quasi nulla durante lo stesso passaggio

La conseguenza importante: l’intero log non viene mai caricato in memoria. Un log da 500 MB non richiede 500 MB di RAM. Questa è la differenza tra il modulo e l’approccio “leggi il file, dividilo, crea oggetti” che la maggior parte degli script fatti in casa usa — quell’approccio funziona bene su un campione da 5 MB ma fallisce su un DC reale.

Integrazione con Strumenti di Analisi

Mon, 01 Jan 0001 00:00:00 +0000

Il senso di convertire un log di debug DNS è ciò che succede dopo. CSV è stato scelto perché tutti lo leggono — ma “tutti leggono CSV” nasconde due impostazioni che decidono se l’importazione è indolore o un pomeriggio di tentativi.

Due impostazioni che decidono tutto

Delimitatore. Il valore predefinito è ;. Lascialo così per Excel nelle località che usano la virgola come separatore decimale. Passa a , per la maggior parte dei database e degli strumenti di data science. Qualunque cosa tu scelga, comunica la stessa cosa al lato importazione.

Pratiche Operative Consigliate

Mon, 01 Jan 0001 00:00:00 +0000

Convertire un log manualmente è facile. Farlo ogni notte su ogni controller di dominio, per anni, senza che nessuno lo controlli, è la parte che richiede un po’ di progettazione. Questi sono i punti che contano nella pratica.

1. Converti i log ruotati, non quello attivo

Abilita il rollover dei log sul server DNS e converti solo i file chiusi. Il modulo può leggere il log su cui il DNS Server sta attualmente scrivendo, ma quel file cambia durante la conversione: le voci più recenti potrebbero mancare e l’ultima riga potrebbe essere troncata. Due esecuzioni producono due risultati diversi.

Risoluzione dei problemi

Mon, 01 Jan 0001 00:00:00 +0000

“Il file non è un file di log di debug DNS valido”

Il controllo dell’intestazione ha rifiutato l’input. Di solito il percorso è semplicemente errato — un file .log nella stessa cartella che non è il log di debug DNS, o un file che contiene solo un’intestazione ruotata.

Segui questi passaggi:

Apri il file. Un log di debug DNS inizia con una riga di intestazione come Message logging started at … e continua con voci di query con timestamp.

Convert-DNSDebugLogFile

Fri, 24 Jul 2026 00:00:00 +0000

SYNOPSIS

Trasforma i log di debug del server DNS di Windows in un formato CSV strutturato per analisi e reportistica.

SYNTAX

__AllParameterSets

Convert-DNSDebugLogFile [-InputFile] <string[]> [[-OutputFile] <string>] [[-Delimiter] <string>]
 [[-ComputerName] <string>] [[-OutputType] <string>] [[-ContextFilter] <string[]>]
 [[-InputCulture] <cultureinfo>] [[-OutputCulture] <cultureinfo>] [-SkipHeaderValidation]
 [-RemoveSourceFile] [-CompressOutput] [-NoDetailsParsing] [-WhatIf] [-Confirm]

ALIASES

Questo cmdlet ha i seguenti alias,

Note di rilascio v1.2.2.0 (2026-07-24)

Fri, 24 Jul 2026 00:00:00 +0000

Aggiunto

NUOVO: Supporto per la lettura dei file di log di debug del server DNS attualmente aperti dal servizio DNS
- Consente l’elaborazione di file di log attivi senza richiedere che il file venga prima chiuso
- Migliora la compatibilità con i log che sono ancora in scrittura o tenuti aperti da un altro processo
- Fai attenzione quando elabori log in tempo reale, poiché i record potrebbero essere incompleti o in fase di aggiornamento
NUOVO: Supporto per percorsi SMB/UNC durante la lettura dei file di log di origine
- Permette al parser di lavorare con file archiviati su condivisioni di rete e posizioni remote
- Migliora l’affidabilità in ambienti di archiviazione centralizzata o condivisa

Modificato

Metadati del modulo: Aggiornati ProjectUri e ReleaseNotes per puntare al sito ufficiale https://dnsserverdebuglogparser.andibellstedt.com per una migliore reperibilità e accesso alla documentazione
Accesso ai file corretto: Aggiornata la logica sottostante di apertura dei file per usare un accesso basato su stream con opzioni esplicite per scenari di lettura condivisa
- Migliora la gestione dei file di log attivi e di tipi di percorso alternativi come le condivisioni UNC
- Mantiene un comportamento coerente per fonti di file locali e remote

Note di rilascio v1.2.1.0 (2026-01-26)

Mon, 26 Jan 2026 00:00:00 +0000

Modifiche

Prestazioni: Migliorata l’elaborazione di record multilinea per evitare il caricamento di file di grandi dimensioni in memoria
- Previene errori di esaurimento memoria su file di log molto grandi
- Mantiene il pieno supporto per i blocchi di dettaglio PACKET e le righe di continuazione indentate
- L’uso della memoria è ora costante indipendentemente dalla dimensione del file
Avanzamento: Aggiunto Write-Progress per il feedback durante l’elaborazione
- La barra di avanzamento si aggiorna ogni 1000 record per un impatto minimo sulle prestazioni
- Mostra il conteggio record corrente e il file in elaborazione

Note di rilascio v1.2.0.0 (2026-01-25)

Sun, 25 Jan 2026 00:00:00 +0000

Aggiunte

NUOVO: Elaborazione di record multi-linea per i blocchi di dettaglio PACKET DNS
- Le voci di contesto PACKET possono ora includere informazioni dettagliate sulla connessione TCP/UDP e sulla struttura del messaggio DNS
- I blocchi di dettaglio vengono analizzati in formato JSON strutturato nella nuova colonna Details
- Include: informazioni sul socket, indirizzo/porta remota, dati temporali, struttura del messaggio (XID, Flags, QCOUNT, ecc.)
- Le sezioni DNS (QUESTION, ANSWER, AUTHORITY, ADDITIONAL) sono catturate con tutti i dettagli del record
- I nomi di dominio codificati nei blocchi di dettaglio vengono automaticamente convertiti in formato FQDN
NUOVO: colonna Details nell’output CSV
- Contiene dati JSON strutturati per le voci PACKET con blocchi di dettaglio
- Vuota per le voci PACKET senza dettagli e per tutti i contesti non-PACKET
- Permette un’analisi approfondita dei pacchetti e indagini forensi su query/risposte DNS
NUOVO: parametro switch NoDetailsParsing per ottimizzazione delle prestazioni
- Salta l’analisi JSON costosa dei blocchi di dettaglio PACKET
- Può migliorare la velocità di elaborazione del 30-50% per log con molti blocchi di dettaglio
- Da usare quando si elaborano file molto grandi (oltre 100MB) e non serve la struttura dettagliata dei pacchetti
- I blocchi di dettaglio vengono comunque raccolti nella colonna Information, ma la colonna Details resta vuota
NUOVO: supporto per continuazione multi-linea anche per contesti non-PACKET
- EVENT, Note, DSPoll e altri contesti possono ora estendersi su più righe
- Le righe di continuazione indentate vengono automaticamente unite al campo Information del record principale
- Conserva messaggi di errore completi, aggiornamenti di zona e output diagnostici
NUOVO: ContextFilter riconosce tipi di contesto aggiuntivi: DSPoll, Init, Lookup, Recurse, Remote, Tombstone
- Effetto: Convert-DNSDebugLogFile può ora includere/escludere queste voci diagnostiche e di ciclo di vita tramite -ContextFilter
NUOVO: output delle statistiche ora include due file dedicati
- _Statistic.csv: conteggi giornalieri dei record per tipo di contesto (Date, Context, Count, ComputerName)
- _PacketStatistic.csv: conteggi giornalieri PACKET per client/protocollo/direzione/tipo (Date, ClientIP, Protocol, Direction, QuestionType, Count, ComputerName)
- Vantaggio: report più mirati (volume contesto operativo vs. suddivisione traffico DNS)
Generazione JSON per i blocchi di dettaglio PACKET ottimizzata per prestazioni (analisi manuale invece di regex)

Modifiche

BREAKING: l’output CSV ora include 18 colonne (aggiunta colonna Details prima di ComputerName)
- Nuovo ordine colonne: DateTime, ThreadId, Context, PacketId, Protocol, Direction, ClientIP, Xid, Type, Opcode, FlagsHex, FlagsChar, ResponseCode, QuestionType, QuestionName, Information, Details, ComputerName
- Impatto: gli script che si basano sulle posizioni delle colonne devono essere aggiornati
- Vantaggio: capacità avanzate di analisi pacchetti senza modificare il comportamento della colonna Information esistente
Elaborazione delle righe dati rifattorizzata per leggere tutte le righe in memoria e rilevare efficientemente record multi-linea
- Prestazioni: impatto minimo grazie all’uso ottimizzato di List
- Vantaggio: consente un lookahead accurato per blocchi di dettaglio e righe di continuazione
I nomi delle query mancanti o codificati come vuoti ora vengono gestiti senza errori di parsing; l’output CSV conterrà un campo QuestionName vuoto se assente

Miglioramenti

Parsing di Convert-DNSDebugLogFile più robusto: validazione più rigorosa delle righe ed estrazione migliorata riducono righe spurie/invalide da log malformati mantenendo il formato CSV/statistiche
Rilevamento del contesto PACKET distingue tra query semplici e query con blocchi di dettaglio
Le righe vuote dopo voci PACKET senza dettagli vengono saltate correttamente
La decodifica dei nomi di dominio nei blocchi di dettaglio usa la funzione esistente ConvertTo-Fqdn per coerenza

Prestazioni

Velocità di elaborazione mantenuta per log senza blocchi di dettaglio
Lo switch NoDetailsParsing offre un miglioramento di velocità del 30-50% quando non serve il parsing JSON
Gestione efficiente dello stato durante l’elaborazione dei record multi-linea
Operazioni su stringhe ottimizzate (TrimStart, Join) invece di regex per la gestione delle righe di continuazione

Note

Queste modifiche sono progettate per essere retrocompatibili per un uso normale. Se ti basi su un set esatto di nomi di contesto o su un comportamento di parsing precedentemente rigoroso, verifica gli script a valle
La nuova colonna Details è sempre presente nell’output CSV; usa NoDetailsParsing per mantenerla vuota per prestazioni
Gli script esistenti che analizzano il CSV per posizione colonna devono considerare la nuova colonna Details (posizione 17, prima di ComputerName)

Note di rilascio v1.1.0 (2026-01-23)

Fri, 23 Jan 2026 00:00:00 +0000

Aggiunto

NUOVO: Parametro ContextFilter per l’analisi selettiva dei log
- Filtra le voci di log per tipo di contesto: PACKET (query/risposte DNS), EVENT (eventi del server) o Note (informazioni diagnostiche)
- Permette un’analisi mirata su specifici tipi di voci di log
- Predefinito: All (include tutti i tipi di contesto)
- Casi d’uso: Concentrarsi solo sul traffico DNS, monitorare eventi del server, risolvere problemi diagnostici
NUOVO: Campo Informazioni nell’output CSV
- Registra informazioni dettagliate per le voci di contesto EVENT e Note
- Esempi: “Il server DNS è stato avviato.”, “Caricamento della zona completato”, errori di socket, messaggi di stato interni
- Migliora la visibilità sugli eventi operativi e diagnostici del server DNS
- Il campo è popolato quando il contesto è EVENT o Note; vuoto per le voci PACKET

Modificato

BREAKING: La colonna ComputerName è ora sempre inclusa alla fine di tutti i record di output
- In precedenza: ComputerName veniva inclusa condizionatamente all’inizio quando il parametro era specificato
- Ora: ComputerName è sempre presente come ultima colonna; vuota se il parametro non è specificato
- Vantaggio: Struttura di output coerente semplifica la consolidazione di log da più server e l’elaborazione automatizzata
- Impatto: Gli script esistenti che analizzano la posizione delle colonne o si aspettano la presenza condizionata della colonna devono essere aggiornati

Aggiunto

Filtraggio del contesto per concentrarsi su specifici tipi di voci di log (PACKET, EVENT, NOTE) tramite il parametro ContextFilter

Migliorato

Rifattorizzata l’help basata su commenti per Convert-DNSDebugLogFile per maggiore chiarezza e sintesi
Aggiornate le descrizioni dei parametri per essere più informative e pratiche
Migliorata la documentazione degli esempi con casi d’uso più mirati e pratici
Aggiornato il file di help about_DNSServer.DebugLogParser per riflettere le funzionalità attuali
Potenziato il logging verbose per fornire informazioni di progresso più dettagliate durante l’elaborazione

v1.0.0 (2026-01-23)

Fri, 23 Jan 2026 00:00:00 +0000

Aggiunto

Rilascio iniziale
Convert-DNSDebugLogFile - Parser ad alte prestazioni per i file di log di debug del server DNS di Windows
Analizza tutti i 15 campi standard dai log di debug DNS in formato CSV strutturato
Supporta delimitatori CSV personalizzabili (predefinito: punto e virgola)
Colonna ComputerName opzionale per la consolidazione dei log da più server
Tre modalità di output: solo dati CSV, solo statistiche o entrambi
Riepiloghi statistici che aggregano l’attività per IP client, protocollo e tipo di query
Supporto pipeline per l’elaborazione batch di più file di log
Validazione dell’intestazione per garantire l’integrità dei dati (può essere bypassata se necessario)
Compressione automatica opzionale dei file di output (formato ZIP)
Rimozione opzionale dei file sorgente dopo l’elaborazione riuscita
Parsing e formattazione delle date sensibili alla cultura per server DNS internazionali
Ottimizzato per file di grandi dimensioni (oltre 100MB) utilizzando I/O in streaming e operazioni stringa efficienti
Compatibile con PowerShell 5.1+ (edizioni Desktop e Core)
Supporta i formati di log di Windows Server 2016+ e DNS Server 2012 R2 fino al 2025

Informativa Legale

Sun, 18 Jan 2026 00:00:00 +0000

Informazioni ai sensi dell’articolo 5 della Legge tedesca sui media telematici (TMG)

Informativa legale

Andreas Bellstedt
Brunnenstr. 38
75387 Neubulach
Germania

Contatto

Email: blog@andibellstedt.com

Forma giuridica / stato dell’attività

Questo sito web è gestito da un privato / imprenditore individuale.

Responsabile dei contenuti ai sensi dell’articolo 55(2) del Trattato tedesco sulla radiodiffusione interstatale (RStV)

Andreas Bellstedt
(Indirizzo sopra)

Responsabilità per i contenuti

In qualità di fornitore di servizi, siamo responsabili dei nostri contenuti su queste pagine in conformità con l’articolo 7(1) TMG secondo la legge generale. Ai sensi degli articoli 8–10 TMG, tuttavia, non siamo obbligati a monitorare le informazioni di terzi trasmesse o memorizzate né a indagare su circostanze che indicano attività illegali.

Informativa sulla privacy

Sun, 18 Jan 2026 00:00:00 +0000

Informativa sulla Privacy

1. Panoramica sulla Privacy

Note Generali

Le seguenti note forniscono una semplice panoramica su cosa succede ai tuoi dati personali quando visiti questo sito web. I dati personali sono tutti i dati con cui puoi essere identificato personalmente. Informazioni dettagliate sul tema della protezione dei dati possono essere trovate nella nostra informativa sulla privacy elencata sotto questo testo.

Raccolta dei Dati su Questo Sito Web

Chi è responsabile della raccolta dei dati su questo sito web?

Il trattamento dei dati su questo sito web è effettuato dall’operatore del sito. I loro dettagli di contatto possono essere trovati nella sezione “Avviso sul Titolare del Trattamento” in questa informativa sulla privacy.

Flusso di lavoro per l'analisi della sicurezza con SQL Server

Mon, 01 Jan 0001 00:00:00 +0000

Questo esempio mostra un flusso di lavoro pratico per l’analisi della sicurezza: analizza un log di debug DNS con Convert-DNSDebugLogFile, importa il CSV generato in SQL Server ed esegui una query che evidenzia volumi insolitamente alti di interrogazioni a record TXT.

Per la migliore interoperabilità, questo esempio scrive i timestamp in un formato simile all’ISO usando -OutputCulture 'sv-SE'.

Moduli richiesti

Questo esempio utilizza i seguenti moduli PowerShell:

DNSServer.DebugLogParser
SqlServer

Installali se necessario:

Informazioni sull'autore

Mon, 01 Jan 0001 00:00:00 +0000

Ciao a tutti!

Sono Andreas Bellstedt — un professionista IT con più di 20 anni di esperienza in ambienti aziendali. Di solito mi chiamano Andi.
Sono appassionato di tecnologia, ma ancora di più di applicarla in modo da migliorare affidabilità, sicurezza ed efficienza operativa.

Esempio di Attività Pianificata

Mon, 01 Jan 0001 00:00:00 +0000

Questo script crea un’attività pianificata di Windows che viene eseguita ogni giorno alle 2:00 AM. Importa il modulo ed elabora tutti i file di log nella cartella in cui viene eseguito lo script (in questo esempio “C:\Administration\Logs\DNS”). Il processo comprime l’output in file ZIP e rimuove l’originale per mantenere l’ordine.

$actionParams = @{
 Execute = "powershell.exe"
 Argument = '-ExecutionPolicy RemoteSigned -Command "Import-Module DNSServer.DebugLogParser; Get-ChildItem .\*.log | Sort-Object lastwritetime, Name -Descending | Convert-DNSDebugLogFile -ComputerName $env:COMPUTERNAME -Delimiter \";\" -OutputType Both -ContextFilter Packet -OutputCulture sv-SE -CompressOutput"'
 WorkingDirectory = "C:\Administration\Logs\DNS"
}
$Action = New-ScheduledTaskAction @actionParams

$Trigger = New-ScheduledTaskTrigger -Daily -At "2:00AM"

Register-ScheduledTask -TaskName "Process DNS Logs" -Action $Action -Trigger $Trigger -Description "Convert DNS debug logs to CSV daily"

Informazioni sul sito

Mon, 01 Jan 0001 00:00:00 +0000

Informazioni sulla build

Sito costruito con il tema [Docsy] per Hugo.

Utilizzo pratico in un ambiente di dominio (raccolta e conversione guidate da GPO)

Mon, 01 Jan 0001 00:00:00 +0000

Questo documento illustra un esempio pratico, end-to-end, di esecuzione di DNSServer.DebugLogParser in un ambiente di dominio Active Directory, focalizzato sulla conversione dei log di debug del server DNS di Windows sui controller di dominio.

Questo esempio è accompagnato da un archivio ZIP, che fornisce gli artefatti di policy utilizzati per implementare il flusso di lavoro descritto qui.
Gli artefatti più rilevanti sono il manifest di backup, il report GPO, il Files.xml, lo Set-DNSServerDebugLogging.ps1 e il ScheduledTasks.xml.

Risultati della ricerca

Mon, 01 Jan 0001 00:00:00 +0000