Tietoa tästä dokumentaatiosta on PowerShell-moduuli DNSServer.DebugLogParser

Yleiskatsaus

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser on PowerShell-moduuli, joka muuntaa Windows DNS -palvelimen debug-lokitiedostot rakenteelliseksi, analysoitavaksi CSV-dataksi turvallisuusanalyysiä, suorituskyvyn seurantaa, vianmääritystä ja vaatimustenmukaisuusraportointia varten.

Mikä on DNS-debug-loki?

DNS-debug-lokin kirjaaminen on Windows DNS -palvelimen ominaisuus, joka tallentaa yksityiskohtaista tietoa DNS-toiminnoista. Kun se on käytössä, DNS-palvelin kirjoittaa lokimerkintöjä tekstitiedostoon (yleensä dns.log) DNS-palvelimen hakemistoon.

Jokainen lokimerkintä sisältää enintään 16 kenttää, kuten:

Kyselyn päivämäärä ja kellonaika
Käytetty protokolla (UDP tai TCP)
Suunta (Lähetetty tai Vastaanotettu)
Asiakkaan IP-osoite
Kyselytyyppi (A, AAAA, MX, PTR jne.)
Kyselty verkkotunnus
Vastauskoodi (NOERROR, NXDOMAIN jne.)
Kyselyliput ja -asetukset
Vastaus-IP-osoite (onnistuneissa kyselyissä)
Porttinumeroita ja muita teknisiä tietoja

Miksi jäsentää DNS-debug-lokeja?

DNS-lokit ovat tärkeitä:

Tulostusmuodot

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser voi luoda kahta tyyppiä tulostetta:

CSV-tiedoston, joka sisältää kaikki jäsennetyt merkinnät
Valinnaiset tilastotiedostot päivittäistä yhteenlaskua varten

Katso tämän artikkelin esimerkkitiedostoja nähdäksesi käytännön esimerkkejä kummastakin tulostetyypistä.

CSV-tiedosto

Esimerkkitulostetiedostot:

en-US (ei yksityiskohtia): WithComputerName, NoComputerName
de-DE (ei yksityiskohtia): WithComputerName, NoComputerName
de-DE (yksityiskohtien kanssa / Details JSON täytetty pakettien yksityiskohtablokkien osalta): WithComputerName, NoComputerName

CSV-tiedosto sisältää kaikki jäsennetyt lokimerkinnät seuraavilla sarakkeilla:

DateTime: DNS-kyselyn/vastauksen päivämäärä ja kellonaika
ThreadId: Sisäinen DNS-palvelimen säikeen tunniste
Context: Toimintaympäristö (esim. Packet, Event, Note, DSPoll, Init, Lookup, Recurse, Remote, Tombstone)
PacketId: DNS-paketin tunniste
Protocol: UDP tai TCP
Direction: Rcv (vastaanotettu/kysely) tai Snd (lähetetty/vastaus)
ClientIP: Asiakkaan IP-osoite
Xid: Tapahtumatunnus (heksadesimaali)
Type: Kysely tai Vastaus
Opcode: Standard, Notify, Update tai Unknown
FlagsHex: Kysely/vastausliput (heksadesimaali)
FlagsChar: Liput purettuna (Authoritative, Truncated, RecursionDesired, RecursionAvailable)
ResponseCode: NOERROR, NXDOMAIN, SERVFAIL jne.
QuestionType: DNS-tietueen tyyppi (A, AAAA, MX, PTR jne.)
QuestionName: Kysytty verkkotunnus
Information: Lisätiedot (Event/Note jne.; pakettien yksityiskohtablokeissa TCP/UDP-yksityiskohtarivillä)
Details: JSON-data pakettimerkinnöille, jotka sisältävät yksityiskohtablokkeja (muulloin tyhjä)
ComputerName: Lähdepalvelimen nimi (aina mukana; tyhjä jos määrittelemätön)

Huom: ComputerName-sarake sisältyy aina kunkin tietueen loppuun, jotta tulosteen rakenne pysyy yhtenäisenä. Tämä helpottaa monipalvelinlokien yhdistämistä.

Operatiiviset parhaat käytännöt

Mon, 01 Jan 0001 00:00:00 +0000

Kun käytät DNSServer.DebugLogParseria tuotannossa:

Aikatauluta säännöllinen käsittely
- Käytä Task Scheduleria muuntamaan uudet lokitiedostot automaattisesti päivittäin tai viikoittain.
Kierrätä lokit asianmukaisesti
- DNS-debug-lokit voivat kasvaa nopeasti; määritä kierrätys hallittavaan kokoon (esimerkiksi 100 Mt).
Vahvista tuloste
- Tarkista ensimmäiset muutetut tiedostot ennen täysautomaatiota.
Suunnittele tallennustarpeet
- Vaikka pakkaus on käytössä, suunnittele tallennustila DNS-volyymin ja säilytysajan mukaan.
Suojaa arkaluonteiset tiedot
- DNS-lokit voivat sisältää arkaluonteista tietoa; suojaa tulosteet asianmukaisin käyttöoikeuksin.
Dokumentoi työnkulku
- Kirjaa käsittelyaikataulut, tallennussijainnit ja analyysikäyttö.
Testaa esimerkkitiedostoilla

Vianmääritys

Mon, 01 Jan 0001 00:00:00 +0000

Yleisiä ongelmia ja ratkaisuja

”Tiedosto ei ole kelvollinen DNS-debug-lokitiedosto”

Varmista, että muunnetaan oikea DNS-palvelimen debug-lokitiedosto.
Tiedoston pitäisi alkaa tekstillä Message logging started at tai sisältää DNS-kyselymerkintöjä.
Jos olet varma, että tiedosto on kelvollinen mutta otsikko poikkeaa, käytä -SkipHeaderValidation-valitsinta.

Tulostiedosto on tyhjä tai keskeneräinen

Varmista, että syötetiedosto sisältää kelvollisia lokimerkintöjä.
Jotkut lokit voivat sisältää vain otsikkotietoja, jos kyselyjä ei ole tapahtunut.
Tarkista, ettei lokitiedosto ole vioittunut ja että se sisältää todellisia kyselytietoja.

Käsittely on hyvin hidasta

Varmista, että muistia on riittävästi ja levy ei ole kuormittunut.
Harkitse pienempien lokitiedostojen käsittelyä.
Käytä -CompressOutput-valitsinta yhdessä ajoitetun käsittelyn kanssa pienempien erien käsittelemiseksi.

”Access denied” -virheet

Käynnistä PowerShell sopivin oikeuksin, jotta voit lukea lähdelokitiedostot ja kirjoittaa kohdekansioon.
DNS-lokitiedostojen käsittely saattaa vaatia järjestelmänvalvojan oikeudet.

Pakattu tulostiedosto on odotettua suurempi

Lokit, joissa on paljon uniikkeja arvoja, pakkaantuvat heikommin; tämä voi olla normaalia.
ZIP-pakkaus saavuttaa silti yleensä merkittävän koon pienennyksen.

Tilastotiedosto ei vastaa odotuksia

Varmista, että käytät -OutputType Both tai -OutputType Statistic -valitsinta.
Tilastot ovat koottuja lukumääriä (päiväryhmittäin), joten arvot ovat summia.

Ongelmatilanteiden raportointi

Jos kohtaat ongelmia, joita ei ole käsitelty tässä: