使用示例 on PowerShell 模块 DNSServer.DebugLogParser

域环境中的实际应用（基于 GPO 的收集与转换）

Mon, 01 Jan 0001 00:00:00 +0000

本文档概述了在 Active Directory 域环境中运行 DNSServer.DebugLogParser 的一个实际端到端示例，重点是转换域控制器上的 Windows DNS 服务器调试日志。

本示例附带一个 ZIP 压缩包，其中包含用于实现本文描述工作流的策略工件。
最相关的工件包括备份清单、GPO 报告、Files.xml、Set-DNSServerDebugLogging.ps1 以及 ScheduledTasks.xml。

场景

多个域控制器（DC）承载 DNS 服务器角色。
通过计划任务在每个 DC 上启用并统一配置 DNS 调试日志（日志文件写入路径为 C:\Administration\Logs\DNSServer）。
集中管理的进程将日志转换为 CSV，用于：
- 安全分析
- 运营报告
- 故障排查
- 合规/保留

目标结果

所有 DC 上的转换设置保持一致
输出位置和命名可预测
可选压缩以减少存储占用
可选统计输出以实现快速的每日汇总
主机端风险最小，明确重跑和清理策略

建议架构

收集模型：本地转换 + 中央拉取

每个 DC 将 DNS 调试日志写入磁盘，并启用日志轮转。
每个 DC 将轮转的 *.log 文件转换成数据 CSV 和统计 CSV，然后通过计划任务压缩输出为 *.zip。
输出文件与日志文件写在同一目录，简化管道流程。
中央服务器收集 *.zip 输出，例如通过文件共享导入、定时复制、SIEM 转发器或基于代理的收集器。

该模型最大限度减少了对大型原始日志文件的网络读取，将解析工作保持在数据近旁。

GPO 工作流

该工作流通过组策略（计算机配置）实现，确保所有域控制器的设置一致。

使用 SQL Server 的安全分析工作流

Mon, 01 Jan 0001 00:00:00 +0000

此示例展示了一个实用的安全分析工作流：使用 Convert-DNSDebugLogFile 解析 DNS 调试日志，将生成的 CSV 导入 SQL Server，并运行查询以突出显示异常大量的 TXT 记录查询。

为了最佳的互操作性，此示例通过使用 -OutputCulture 'sv-SE' 以类似 ISO 的格式写入时间戳。

所需模块

此示例使用以下 PowerShell 模块：

DNSServer.DebugLogParser
SqlServer

如有需要，请安装它们：

Install-Module -Name DNSServer.DebugLogParser -Scope CurrentUser
Install-Module -Name SqlServer -Scope CurrentUser

场景

当你想将解析后的 DNS 调试日志数据移入 SQL Server，以便你可以：

高效搜索大数据集
构建可重复使用的检测查询
关联多个 DNS 服务器的活动
保留规范化数据以供后续调查

时，请使用此工作流。

转换步骤的输出

Convert-DNSDebugLogFile 不直接写入 SQL Server。它首先创建一个 CSV 文件。该 CSV 文件即为导入数据库的数据集。

在此示例中：

输入日志：C:\Administration\Logs\DNS\dns.log
生成的 CSV：C:\Administration\Logs\DNS\dns.csv
目标表：dbo.DNSQueries

创建目标表

在 SQL Server 中运行以下语句一次，创建目标表。

IF OBJECT_ID('dbo.DNSQueries', 'U') IS NULL
BEGIN
 CREATE TABLE dbo.DNSQueries (
 DateTime datetime2(0) NOT NULL,
 ThreadId int NULL,
 Context nvarchar(20) NULL,
 PacketId int NULL,
 Protocol nvarchar(10) NULL,
 Direction nvarchar(10) NULL,
 ClientIP nvarchar(64) NULL,
 Xid nvarchar(16) NULL,
 Type nvarchar(16) NULL,
 Opcode nvarchar(16) NULL,
 FlagsHex nvarchar(16) NULL,
 FlagsChar nvarchar(16) NULL,
 ResponseCode nvarchar(32) NULL,
 QuestionType nvarchar(32) NULL,
 QuestionName nvarchar(512) NULL,
 Information nvarchar(max) NULL,
 Details nvarchar(max) NULL,
 ComputerName nvarchar(256) NULL
 );
END;

转换日志并导入 CSV

以下 PowerShell 示例执行完整工作流：

计划任务示例

Mon, 01 Jan 0001 00:00:00 +0000

此脚本创建了一个每天凌晨 2:00 运行的 Windows 计划任务。它导入模块并处理脚本执行所在文件夹中的所有日志文件（本例中为 “C:\Administration\Logs\DNS”）。该过程会将输出压缩成 ZIP 文件，并删除原始文件以保持整洁。

$actionParams = @{
 Execute = "powershell.exe"
 Argument = '-ExecutionPolicy RemoteSigned -Command "Import-Module DNSServer.DebugLogParser; Get-ChildItem .\*.log | Sort-Object lastwritetime, Name -Descending | Convert-DNSDebugLogFile -ComputerName $env:COMPUTERNAME -Delimiter \";\" -OutputType Both -ContextFilter Packet -OutputCulture sv-SE -CompressOutput"'
 WorkingDirectory = "C:\Administration\Logs\DNS"
}
$Action = New-ScheduledTaskAction @actionParams

$Trigger = New-ScheduledTaskTrigger -Daily -At "2:00AM"

Register-ScheduledTask -TaskName "Process DNS Logs" -Action $Action -Trigger $Trigger -Description "Convert DNS debug logs to CSV daily"