5.1 - Convert-DNSDebugLogFile
SYNOPSIS
Transforme les journaux de débogage du serveur DNS Windows en un format CSV structuré pour analyse et rapports.
SYNTAX
__AllParameterSets
Convert-DNSDebugLogFile [-InputFile] <string[]> [[-OutputFile] <string>] [[-Delimiter] <string>]
[[-ComputerName] <string>] [[-OutputType] <string>] [[-ContextFilter] <string[]>]
[[-InputCulture] <cultureinfo>] [[-OutputCulture] <cultureinfo>] [-SkipHeaderValidation]
[-RemoveSourceFile] [-CompressOutput] [-NoDetailsParsing] [-WhatIf] [-Confirm] [<CommonParameters>]
ALIASES
Cette cmdlet possède les alias suivants,
DESCRIPTION
Convertit les fichiers journaux de débogage du serveur DNS Windows en données CSV structurées pouvant être analysées
dans Excel, Power BI, bases de données SQL ou outils SIEM.
Conçu pour l’analyse de sécurité, la surveillance des performances,
le dépannage et les rapports de conformité.
La cmdlet analyse les journaux de débogage DNS et produit une sortie CSV cohérente pour l’analyse.
La sortie CSV contient 18 colonnes, incluant une colonne Information pour le texte événementiel/diagnostique,
une colonne JSON optionnelle Details pour les blocs de détails des paquets, et une colonne ComputerName
toujours présente (vide sauf si spécifiée).
FONCTIONNALITÉS CLÉS :
- Analyse haute performance optimisée pour les gros fichiers (100 Mo+)
- Délimiteur CSV personnalisable (par défaut : point-virgule)
- Résumés statistiques optionnels avec métriques agrégées
- Filtrage contextuel (Packet, Event, Note, et autres contextes) pour cibler certains types d’entrées
- Analyse et formatage des dates sensibles à la culture pour serveurs internationaux
- Support du pipeline pour traitement par lots de plusieurs fichiers
- Compression optionnelle des fichiers de sortie (format ZIP)
- Suppression automatique optionnelle des fichiers sources après traitement
- Validation des en-têtes pour garantir l’intégrité des données
FORMAT DE SORTIE :
La colonne ComputerName est toujours incluse à la fin de chaque enregistrement.
Si le paramètre -ComputerName
n’est pas spécifié, la colonne restera vide.
Cela garantit une structure de sortie cohérente
pour les scénarios de consolidation multi-serveurs.
PERFORMANCE :
Optimisé avec StreamReader/StreamWriter utilisant des buffers de 64 Ko, opérations sur chaînes au lieu de regex,
génération manuelle du CSV, et collecte efficace des statistiques via tables de hachage.
COMPATIBILITÉ :
- PowerShell 5.1+ (éditions Desktop et Core)
- Windows Server 2016+
- Formats de journaux DNS Server 2012 R2 à 2025
EXAMPLES
EXEMPLE 1
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log"
Convertit le journal de débogage DNS avec les paramètres par défaut (fichiers données et statistiques avec délimiteur point-virgule).
Sortie :
- C:\Logs\dns.csv
- C:\Logs\dns_Statistic.csv
- C:\Logs\dns_PacketStatistic.csv
EXEMPLE 2
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -OutputType CSV
Génère uniquement le fichier de données sans statistiques.
Sortie : C:\Logs\dns.csv
EXEMPLE 3
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -OutputType Statistic
Génère uniquement les fichiers de statistiques avec métriques agrégées.
Sortie :
- C:\Logs\dns_Statistic.csv
- C:\Logs\dns_PacketStatistic.csv
EXEMPLE 4
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -OutputFile "C:\Output\parsed.csv"
Convertit le journal vers un emplacement de sortie personnalisé.
Sortie : C:\Output\parsed.csv
EXEMPLE 5
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -Delimiter "," -ComputerName "DNS01" -OutputType Both
Convertit avec délimiteur virgule et ajoute la colonne ComputerName avec la valeur “DNS01”.
Sortie :
- C:\Logs\dns.csv
- C:\Logs\dns_Statistic.csv
- C:\Logs\dns_PacketStatistic.csv
EXEMPLE 6
PS C:\> Get-ChildItem "C:\Logs\*.log" | Convert-DNSDebugLogFile -OutputType Both
Traite par lots plusieurs fichiers journaux de débogage DNS via pipeline.
Sortie : Pour chaque fichier .log, génère les fichiers .csv et _statistic.csv
EXEMPLE 7
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -CompressOutput
Convertit et compresse la sortie en archive ZIP.
Sortie : C:\Logs\dns.zip (contenant dns.csv + fichiers statistiques)
EXEMPLE 8
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -RemoveSourceFile -Verbose
Convertit le journal et supprime le fichier source après traitement réussi.
La sortie verbose confirme la suppression du fichier.
EXEMPLE 9
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -InputCulture 'de-DE' -OutputCulture 'en-US'
Analyse le format de date allemand (JJ.MM.AAAA) et produit en format US (MM/JJ/AAAA).
À utiliser lors du traitement de journaux provenant de serveurs avec des paramètres régionaux différents.
EXEMPLE 10
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -ContextFilter 'Packet'
Convertit uniquement les entrées de paquets de requêtes/réponses DNS, excluant les entrées EVENT et Note.
À utiliser pour concentrer l’analyse sur le trafic DNS réel.
EXEMPLE 11
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log" -ContextFilter 'Packet','Event'
Convertit à la fois les paquets de requêtes/réponses DNS et les événements du serveur, excluant Note et autres entrées.
À utiliser pour analyser le trafic DNS avec le contexte des événements serveur.
EXEMPLE 12
PS C:\> Get-ChildItem "C:\Logs\*.log" | Convert-DNSDebugLogFile -RemoveSourceFile -CompressOutput
Archivage automatisé des journaux : traite tous les journaux, compresse la sortie, et supprime les fichiers sources.
Idéal pour les pipelines de traitement de journaux planifiés.
EXEMPLE 13
PS C:\> Convert-DNSDebugLogFile -InputFile "C:\Logs\large-dns.log" -NoDetailsParsing
Traite un gros fichier journal avec l’analyse des détails désactivée pour une performance maximale.
Les blocs de détails PACKET sont ignorés, la colonne Details reste vide.
À utiliser pour les très gros fichiers quand la structure détaillée des paquets n’est pas nécessaire.
PARAMETERS
-CompressOutput
Compresse les fichiers CSV de sortie dans une archive ZIP après création.
Crée un fichier .zip contenant les fichiers CSV générés, puis supprime les CSV non compressés.
Le fichier ZIP est créé dans le même répertoire que le CSV de sortie avec le même nom de base.
Avantages :
- Réduit significativement l’espace disque (les fichiers CSV compressent généralement à plus de 90%)
- Simplifie la gestion et l’archivage des fichiers
- Adapté au stockage à long terme
Exemple : Le fichier ‘dns.log’ génère ‘dns.csv’ compressé en ‘dns.zip’, puis ‘dns.csv’ est supprimé.
Type: SwitchParameter
DefaultValue: False
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: Named
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-ComputerName
Spécifie la valeur de la colonne ComputerName dans la sortie CSV.
La colonne ComputerName est
toujours présente dans la sortie - si ce paramètre n’est pas spécifié, la colonne sera vide.
Utilisez-le lors de la consolidation de journaux provenant de plusieurs serveurs DNS pour identifier le serveur source dans
les ensembles de données combinés.
Note : Ce n’est PAS un paramètre de télécommande.
La cmdlet traite uniquement les fichiers locaux.
Type: String
DefaultValue: ''
SupportsWildcards: false
Aliases:
- Server
- DNSServer
- HostName
ParameterSets:
- Name: (All)
Position: 3
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-Confirm
Demande une confirmation avant d’exécuter la cmdlet.
Si spécifié, demande une confirmation avant :
- Le traitement de chaque fichier journal de débogage DNS
- La suppression des fichiers sources (lorsque -RemoveSourceFile est spécifié)
- L’écrasement des fichiers de sortie existants
Utile pour un traitement interactif quand tu souhaites contrôler les fichiers traités.
Type: SwitchParameter
DefaultValue: ''
SupportsWildcards: false
Aliases:
- cf
ParameterSets:
- Name: (All)
Position: Named
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-ContextFilter
Filtre les types d’entrées du journal à inclure dans la sortie.
Accepte une ou plusieurs valeurs.
Les journaux de débogage DNS contiennent différents types de contexte :
- PACKET : Informations sur les paquets de requêtes et réponses DNS (données principales)
- EVENT : Événements du serveur DNS (ex. : “Le serveur DNS a démarré.”)
- Note : Notes et avertissements diagnostiques (ex. : erreurs de socket, états internes)
- DSPoll, Init, Lookup, Recurse, Remote, Tombstone : Types de contexte supplémentaires
Valeurs valides :
- ‘All’ : Inclut tous les types de contexte (par défaut)
- ‘Packet’ : Inclut uniquement les entrées PACKET (requêtes/réponses DNS)
- ‘Event’ : Inclut uniquement les entrées EVENT (événements serveur)
- ‘Note’ : Inclut uniquement les entrées Note (informations diagnostiques)
- Toute combinaison : Spécifie plusieurs valeurs pour inclure des types de contexte spécifiques
Par défaut : All
Exemples :
- ‘Packet’ filtre uniquement le trafic DNS
- ‘Packet’,‘Event’ inclut à la fois le trafic DNS et les événements serveur
- ‘Note’,‘Event’ inclut les notes diagnostiques et les événements serveur
Note : Lors du filtrage sur ‘Event’ ou ‘Note’, seules les colonnes DateTime, ThreadId, Context et Information
contiendront des données.
Les autres colonnes (Protocol, ClientIP, etc.) seront vides.
Type: String[]
DefaultValue: "@('All')"
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: 5
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-Delimiter
Spécifie le caractère délimiteur pour la sortie CSV.
Par défaut : point-virgule (;)
Alternatives courantes : virgule (,), tabulation (`t), barre verticale (|)
Utilise le point-virgule dans les régions où la virgule est séparateur décimal (Europe).
Utilise la virgule pour les outils CSV standard et bases de données qui attendent des valeurs séparées par des virgules.
Type: String
DefaultValue: ;
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: 2
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
Spécifie la culture/locale à utiliser pour analyser les valeurs date/heure dans le journal de débogage DNS.
Les journaux de débogage du serveur DNS utilisent le format de date de la locale Windows du serveur où le journal
a été généré.
Utilise ce paramètre lors du traitement de journaux provenant de serveurs avec des paramètres régionaux
différents.
Par défaut : culture courante
Exemples courants :
- ‘de-DE’ ou ‘de-AT’ : format allemand (JJ.MM.AAAA ou JJ/MM/AAAA)
- ’en-US’ : format US (MM/JJ/AAAA avec AM/PM)
- ’en-GB’ : format UK (JJ/MM/AAAA avec heure 24h)
- ‘sv-SE’ : format suédois/ISO (AAAA-MM-JJ)
Type: CultureInfo
DefaultValue: '[System.Globalization.CultureInfo]::CurrentCulture'
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: 6
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
Spécifie le chemin vers le fichier journal de débogage DNS à analyser.
Supporte les tableaux pour traiter plusieurs fichiers.
Accepte l’entrée pipeline de Get-ChildItem ou autres cmdlets produisant des fichiers.
Type: String[]
DefaultValue: ''
SupportsWildcards: false
Aliases:
- FullName
- FilePath
- InputPath
- File
- Path
ParameterSets:
- Name: (All)
Position: 0
IsRequired: true
ValueFromPipeline: true
ValueFromPipelineByPropertyName: true
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-NoDetailsParsing
Ignore l’analyse des blocs de détails PACKET en format JSON structuré.
Si spécifié, les enregistrements PACKET avec blocs de détails auront la ligne d’info TCP/UDP dans la colonne
Information, mais la colonne Details restera vide.
Cela améliore significativement
la performance de traitement pour les gros fichiers journaux quand l’analyse détaillée des paquets n’est pas nécessaire.
Utilise ce commutateur lorsque :
- Tu traites de très gros fichiers journaux (100 Mo+) et n’as besoin que des informations basiques de requête
- La structure détaillée (flags Message, sections DNS) n’est pas requise pour l’analyse
- La vitesse d’analyse prime sur la complétude des données
Impact sur la performance : peut améliorer la vitesse de traitement de 30 à 50 % pour les journaux avec de nombreux blocs de détails PACKET.
Type: SwitchParameter
DefaultValue: False
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: Named
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-OutputCulture
Spécifie la culture/locale à utiliser pour formater les valeurs date/heure dans les fichiers CSV de sortie.
Contrôle la manière dont les valeurs DateTime sont écrites dans le CSV.
Utilise ce paramètre lorsque les fichiers CSV seront consommés
par des applications ou systèmes avec des paramètres régionaux spécifiques.
Par défaut : culture courante
Exemples courants :
- ’en-US’ : format US (MM/JJ/AAAA)
- ‘de-DE’ : format allemand (JJ.MM.AAAA)
- ‘sv-SE’ ou InvariantCulture : format ISO (AAAA-MM-JJ) pour compatibilité maximale
Type: CultureInfo
DefaultValue: '[System.Globalization.CultureInfo]::CurrentCulture'
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: 7
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-OutputFile
Spécifie le chemin du fichier CSV de sortie.
Si non spécifié, utilise le nom du fichier d’entrée avec extension .csv
dans le même répertoire que le fichier d’entrée.
Important : Doit être un chemin de fichier, pas un répertoire.
Si tu souhaites utiliser le répertoire du fichier d’entrée avec
un nom personnalisé, spécifie le chemin complet incluant le nom de fichier.
Type: String
DefaultValue: ''
SupportsWildcards: false
Aliases:
- Output
- Destination
- OutFile
- OutputPath
ParameterSets:
- Name: (All)
Position: 1
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-OutputType
Spécifie le type de sortie à générer.
Valeurs valides :
- ‘CSV’ : Génère uniquement le fichier de données avec toutes les entrées analysées
- ‘Statistic’ : Génère uniquement les fichiers de statistiques avec métriques agrégées
- ‘Both’ : Génère à la fois les fichiers de données et de statistiques (par défaut)
Par défaut : Both
Lorsque les statistiques sont générées, deux fichiers distincts sont créés :
- ‘_Statistic.csv’ : Comptages résumés par type de contexte par jour (Date, Context, Count, ComputerName)
- ‘_PacketStatistic.csv’ : Comptages détaillés PACKET par jour selon IP client, protocole, direction,
et type de requête (Date, ClientIP, Protocol, Direction, QuestionType, Count, ComputerName)
Type: String
DefaultValue: Both
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: 4
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-RemoveSourceFile
Supprime le fichier journal de débogage DNS source après un traitement réussi.
Utilise ceci pour les pipelines automatisés de traitement de journaux ou la gestion de l’espace disque.
Le fichier source est
supprimé uniquement si le traitement se termine avec succès et que tous les fichiers de sortie sont créés.
Sécurité : Ne peut pas être utilisé avec -SkipHeaderValidation pour éviter la suppression accidentelle de fichiers invalides.
Attention : Les fichiers sources sont supprimés définitivement.
Assure-toi que les fichiers de sortie sont valides avant d’utiliser cette option.
Type: SwitchParameter
DefaultValue: False
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: Named
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
Contourne la validation de l’en-tête du journal de débogage DNS.
Par défaut, la cmdlet vérifie que les fichiers d’entrée ont un en-tête valide de journal de débogage DNS.
Utilise ce commutateur pour traiter des fichiers sans validation, ce qui peut être utile pour :
- Formats de journaux modifiés ou personnalisés
- Dépannage des problèmes de validation
- Journaux non standards ou pré-traités
Attention : Peut entraîner des erreurs de traitement si le fichier n’est pas un journal DNS valide.
Type: SwitchParameter
DefaultValue: False
SupportsWildcards: false
Aliases: []
ParameterSets:
- Name: (All)
Position: Named
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
-WhatIf
Montre ce qui se passerait si la cmdlet était exécutée.
La cmdlet n’est pas exécutée.
Si spécifié, affiche des informations détaillées sur les opérations qui seraient effectuées
sans les exécuter réellement.
Utile pour :
- Prévisualiser quels fichiers seraient traités
- Vérifier les chemins des fichiers de sortie avant traitement
- Tester des scripts avant exécution en production
Type: SwitchParameter
DefaultValue: ''
SupportsWildcards: false
Aliases:
- wi
ParameterSets:
- Name: (All)
Position: Named
IsRequired: false
ValueFromPipeline: false
ValueFromPipelineByPropertyName: false
ValueFromRemainingArguments: false
DontShow: false
AcceptedValues: []
HelpMessage: ''
CommonParameters
Cette cmdlet supporte les paramètres communs : -Debug, -ErrorAction, -ErrorVariable,
-InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable,
-ProgressAction, -Verbose, -WarningAction, et -WarningVariable. Pour plus d’informations, voir
about_CommonParameters.
System.String[]
NOTES
Version : 1.7.0.0
Author : Andi Bellstedt, Copilot
Date : 2026-01-25
Keywords : Microsoft Windows Server, DNSServer, DNS, DebugLog, LogParser
6.1 - Flux de travail d'analyse de sécurité avec SQL Server
Convertissez les journaux de débogage DNS en CSV avec DNSServer.DebugLogParser, importez le résultat dans SQL Server, et exécutez une requête simple pour détecter une activité suspecte sur les enregistrements TXT.
Cet exemple montre un flux de travail pratique pour l’analyse de sécurité : analyser un journal de débogage DNS avec Convert-DNSDebugLogFile, importer le CSV généré dans SQL Server, et exécuter une requête qui met en évidence des volumes anormalement élevés de requêtes sur les enregistrements TXT.
Pour une meilleure interopérabilité, cet exemple écrit les horodatages dans un format proche de l’ISO en utilisant -OutputCulture 'sv-SE'.
Modules requis
Cet exemple utilise les modules PowerShell suivants :
DNSServer.DebugLogParserSqlServer
Installe-les si besoin :
Install-Module -Name DNSServer.DebugLogParser -Scope CurrentUser
Install-Module -Name SqlServer -Scope CurrentUser
Scénario
Utilise ce flux de travail lorsque tu souhaites transférer les données analysées d’un journal de débogage DNS dans SQL Server afin de pouvoir :
- rechercher efficacement dans de grands ensembles de données
- créer des requêtes de détection répétables
- corréler l’activité entre plusieurs serveurs DNS
- conserver des données normalisées pour des investigations ultérieures
Résultat de l’étape de conversion
Convert-DNSDebugLogFile n’écrit pas directement dans SQL Server. Il crée d’abord un fichier CSV. Ce fichier CSV est le jeu de données importé dans la base.
Dans cet exemple :
- journal d’entrée :
C:\Administration\Logs\DNS\dns.log - CSV généré :
C:\Administration\Logs\DNS\dns.csv - table cible :
dbo.DNSQueries
Créer la table cible
Exécute la commande suivante une fois dans SQL Server pour créer la table cible.
IF OBJECT_ID('dbo.DNSQueries', 'U') IS NULL
BEGIN
CREATE TABLE dbo.DNSQueries (
DateTime datetime2(0) NOT NULL,
ThreadId int NULL,
Context nvarchar(20) NULL,
PacketId int NULL,
Protocol nvarchar(10) NULL,
Direction nvarchar(10) NULL,
ClientIP nvarchar(64) NULL,
Xid nvarchar(16) NULL,
Type nvarchar(16) NULL,
Opcode nvarchar(16) NULL,
FlagsHex nvarchar(16) NULL,
FlagsChar nvarchar(16) NULL,
ResponseCode nvarchar(32) NULL,
QuestionType nvarchar(32) NULL,
QuestionName nvarchar(512) NULL,
Information nvarchar(max) NULL,
Details nvarchar(max) NULL,
ComputerName nvarchar(256) NULL
);
END;
Convertir le journal et importer le CSV
L’exemple PowerShell suivant réalise le flux complet :
- importe les modules requis
- convertit le journal de débogage DNS en CSV
- charge le CSV généré
- importe en masse les lignes dans SQL Server
# Requires -Modules DNSServer.DebugLogParser, SqlServer
Import-Module -Name DNSServer.DebugLogParser -ErrorAction Stop
Import-Module -Name SqlServer -ErrorAction Stop
$logPath = 'C:\Administration\Logs\DNS\dns.log'
$csvPath = 'C:\Administration\Logs\DNS\dns.csv'
$serverInstance = 'SQLServer'
$databaseName = 'DNSLogs'
$delimiter = ';'
$createTableSql = @'
IF OBJECT_ID('dbo.DNSQueries', 'U') IS NULL
BEGIN
CREATE TABLE dbo.DNSQueries (
DateTime datetime2(0) NOT NULL,
ThreadId int NULL,
Context nvarchar(20) NULL,
PacketId int NULL,
Protocol nvarchar(10) NULL,
Direction nvarchar(10) NULL,
ClientIP nvarchar(64) NULL,
Xid nvarchar(16) NULL,
Type nvarchar(16) NULL,
Opcode nvarchar(16) NULL,
FlagsHex nvarchar(16) NULL,
FlagsChar nvarchar(16) NULL,
ResponseCode nvarchar(32) NULL,
QuestionType nvarchar(32) NULL,
QuestionName nvarchar(512) NULL,
Information nvarchar(max) NULL,
Details nvarchar(max) NULL,
ComputerName nvarchar(256) NULL
);
END
'@
Convert-DNSDebugLogFile `
-InputFile $logPath `
-ComputerName 'DNS01' `
-OutputType CSV `
-OutputFile $csvPath `
-Delimiter $delimiter `
-OutputCulture 'sv-SE'
$rows = Import-Csv -Path $csvPath -Delimiter $delimiter
if (-not $rows) {
throw "Le fichier CSV généré '$csvPath' ne contient aucune ligne."
}
$dataTable = [System.Data.DataTable]::new()
foreach ($columnName in $rows[0].PSObject.Properties.Name) {
$null = $dataTable.Columns.Add($columnName, [string])
}
foreach ($row in $rows) {
$dataRow = $dataTable.NewRow()
foreach ($column in $dataTable.Columns) {
$columnName = $column.ColumnName
$dataRow[$columnName] = $row.$columnName
}
$null = $dataTable.Rows.Add($dataRow)
}
$connectionString = "Server=$serverInstance;Database=$databaseName;Integrated Security=True"
$connection = [System.Data.SqlClient.SqlConnection]::new($connectionString)
try {
$connection.Open()
$command = $connection.CreateCommand()
$command.CommandText = $createTableSql
$null = $command.ExecuteNonQuery()
$bulkCopy = [System.Data.SqlClient.SqlBulkCopy]::new($connection)
$bulkCopy.DestinationTableName = 'dbo.DNSQueries'
foreach ($column in $dataTable.Columns) {
$null = $bulkCopy.ColumnMappings.Add($column.ColumnName, $column.ColumnName)
}
$bulkCopy.WriteToServer($dataTable)
}
finally {
$connection.Dispose()
}
Requête pour détecter une activité suspecte sur les enregistrements TXT
Une fois les données dans SQL Server, tu peux rechercher les clients qui émettent un nombre anormalement élevé de requêtes sur les enregistrements TXT.
SELECT
ComputerName,
ClientIP,
QuestionName,
COUNT(*) AS QueryCount
FROM dbo.DNSQueries
WHERE QuestionType = 'TXT'
GROUP BY
ComputerName,
ClientIP,
QuestionName
HAVING COUNT(*) > 100
ORDER BY QueryCount DESC;
Si tu préfères exécuter la requête depuis PowerShell, utilise Invoke-Sqlcmd du module SqlServer :
$query = @'
SELECT
ComputerName,
ClientIP,
QuestionName,
COUNT(*) AS QueryCount
FROM dbo.DNSQueries
WHERE QuestionType = 'TXT'
GROUP BY
ComputerName,
ClientIP,
QuestionName
HAVING COUNT(*) > 100
ORDER BY QueryCount DESC;
'@
Invoke-Sqlcmd `
-ServerInstance 'SQLServer' `
-Database 'DNSLogs' `
-Query $query
Pourquoi les requêtes TXT sont intéressantes
Un volume élevé de requêtes sur les enregistrements TXT peut valoir la peine d’être examiné car cela peut indiquer :
- un tunnel DNS
- une exfiltration de données via DNS
- un abus des enregistrements TXT par des malwares ou des outils
- des clients anormalement bruyants ou mal configurés
Cette requête n’est qu’un point de départ. En production, tu devrais ajuster le seuil et ajouter des filtres adaptés à ton environnement.
Notes opérationnelles
Import-Csv charge le fichier complet en mémoire. Pour des exports de journaux très volumineux, envisage une approche en streaming plutôt que de construire un DataTable complet.- Garde
-ComputerName dans l’étape de conversion pour que les enregistrements restent attribuables après ingestion centralisée. - Utilise un délimiteur et une culture cohérents lors de l’export et de l’import.
- Vérifie la rétention, l’indexation et le contrôle d’accès dans SQL Server avant d’utiliser ce flux pour un stockage à long terme.
6.2 - Utilisation pratique dans un environnement de domaine (collecte et conversion pilotées par GPO)
Cet exemple montre comment mettre en œuvre un flux de travail piloté par GPO pour collecter et convertir les journaux de débogage DNS sur les contrôleurs de domaine.
Ce document présente un exemple pratique et complet d’exécution de DNSServer.DebugLogParser dans un environnement de domaine Active Directory, axé sur la conversion des journaux de débogage du serveur DNS Windows sur les contrôleurs de domaine.
Cet exemple est accompagné d’une archive ZIP, qui fournit les artefacts de stratégie utilisés pour mettre en œuvre le flux de travail décrit ici.
Les artefacts les plus pertinents sont le manifest de sauvegarde, le rapport GPO, le Files.xml, le Set-DNSServerDebugLogging.ps1, et le ScheduledTasks.xml.
Scénario
- Plusieurs contrôleurs de domaine (DC) hébergent le rôle de serveur DNS.
- La journalisation de débogage DNS est activée et configurée de manière cohérente sur chaque DC via une tâche planifiée (écriture des fichiers journaux dans
C:\Administration\Logs\DNSServer). - Un processus centralisé convertit les journaux en CSV pour :
- l’analyse de sécurité
- les rapports opérationnels
- le dépannage
- la conformité/la rétention
Résultats visés
- Paramètres de conversion cohérents sur tous les DC
- Emplacement et nommage de sortie prévisibles
- Compression optionnelle pour réduire l’espace de stockage
- Sorties statistiques optionnelles pour des synthèses quotidiennes rapides
- Risque minimal côté hôte, avec des considérations explicites de relance et de nettoyage
Architecture suggérée
- Chaque DC écrit les journaux de débogage DNS sur disque avec rotation activée.
- Chaque DC convertit les fichiers
*.log archivés en CSV de données et CSV statistiques, puis compresse les sorties en *.zip selon un planning (Planificateur de tâches). - Les sorties sont écrites à côté des fichiers journaux pour garder le pipeline simple.
- Un serveur central collecte les sorties
*.zip, par exemple via ingestion par partage de fichiers, copie planifiée, agent SIEM ou collecteur basé sur agent.
Ce modèle minimise les lectures réseau de gros fichiers journaux bruts et maintient l’analyse proche des données.
Flux de travail GPO
Le flux de travail est mis en œuvre via la stratégie de groupe (configuration ordinateur) pour garantir des paramètres cohérents sur tous les contrôleurs de domaine.
Implémentation de référence incluse dans ce dépôt (rapport GPO) :
- Nom de l’archive/rapport :
T0-C-Analytics-DNSDebugLogging - ID de sauvegarde :
{2B6F16BC-0E7C-4787-83D7-2854FED882EE} - Cible du lien GPO :
corp.company.com/Domain Controllers - Filtre d’élément (utilisé pour le déploiement de fichiers et les tâches planifiées) : s’applique uniquement si
C:\Windows\System32\dns.exe existe
1) Prérequis (dossiers + module)
La sauvegarde fournie suppose que ces dossiers existent déjà. Ajoutez des éléments GPP séparés si vous souhaitez que le déploiement les crée automatiquement :
C:\Administration\ScriptsC:\Administration\Logs\DNSServer
La sauvegarde fournie suppose également que Convert-DNSDebugLogFile est déjà disponible sur les DC. La tâche de conversion lance Windows PowerShell 5.1 avec -NoProfile et n’importe pas explicitement le module, donc le module doit être installé dans un chemin de module Windows PowerShell machine-wide visible par LocalSystem. Approches recommandées :
- Installer DNSServer.DebugLogParser sur les DC, par exemple depuis PowerShell Gallery (si la politique le permet).
- Déployer le module via un dépôt interne / partage de fichiers pour qu’il soit détectable dans
$env:PSModulePath - Ajouter un
Import-Module explicite dans l’action de la tâche si vous souhaitez un chargement déterministe
2) Déployer le script de configuration de la journalisation de débogage (GPP Fichiers)
La GPO déploie le script :
- Source (dans SYSVOL via GPP) :
%GptPath%\Preferences\Files\Set-DNSServerDebugLogging.ps1 - Cible (sur chaque DC) :
C:\Administration\Scripts\Set-DNSServerDebugLogging.ps1
Ceci est implémenté dans l’élément de préférence GPP Fichiers dans Files.xml.
La GPO crée une tâche planifiée nommée Set-DNSServerDebugLogging.
- Contexte de sécurité dans la sauvegarde fournie :
SYSTEM avec type de connexion S4U - Déclencheur dans la sauvegarde fournie : quotidien (heure de début
2025-03-01T00:00:01) - Action dans ScheduledTasks.xml :
powershell.exe -ExecutionPolicy RemoteSigned -command " & { C:\Administration\Scripts\Set-DNSServerDebugLogging.ps1 }"- Répertoire de travail :
C:\Administration\Scripts
Le script Set-DNSServerDebugLogging.ps1 configure la journalisation de débogage DNS via Get-DnsServerDiagnostics / Set-DnsServerDiagnostics et notamment :
- Active la journalisation dans un fichier + rotation
- Écrit dans :
C:\Administration\Logs\DNSServer\DnsDebugLog_<COMPUTERNAME>.<Domain>_.log - Utilise une taille de rotation de 10 Mo par fichier
- Capture principalement l’activité liée aux requêtes (requêtes + notifications + mises à jour + transactions de questions) et exclut la journalisation complète des paquets
4) Tâche planifiée : convertir les journaux de débogage archivés en CSV compressé
La GPO crée une tâche planifiée nommée Convert-DNSDebugLogs.
- Contexte de sécurité dans la sauvegarde fournie :
SYSTEM avec type de connexion InteractiveToken - Déclencheur dans la sauvegarde fournie : quotidien (heure de début
2026-01-01T00:30:00) - Répertoire de travail :
C:\Administration\Logs\DNSServer - Action dans ScheduledTasks.xml (formaté pour lisibilité) :
Get-ChildItem .\*.log |
Sort-Object lastwritetime, Name -Descending |
Select-Object -Skip 1 |
Convert-DNSDebugLogFile `
-ComputerName $env:COMPUTERNAME `
-Delimiter ';' `
-OutputType Both `
-ContextFilter Packet `
-OutputCulture sv-SE `
-CompressOutput
Notes de conception :
Select-Object -Skip 1 évite intentionnellement de traiter le fichier journal le plus récent (actif).- Cela signifie que les données actuelles ne sont exportées qu’après rotation ; sur des DC à faible volume, le journal actif peut rester non traité pendant plus d’un jour.
- Parce que Convert-DNSDebugLogFile utilise par défaut
-OutputFile « même dossier, même nom, .csv », les sorties se trouvent à côté des entrées *.log. - Avec
-CompressOutput, chaque journal traité produit un *.zip et les CSV intermédiaires sont supprimés. - À moins d’archiver ou supprimer les fichiers
*.log traités, les exécutions ultérieures retraiteront chaque journal non actif. - La tâche génère une erreur si
$Error.Count -gt 0 pour signaler un échec.
5) Ingestion centrale
Options (choisir une) :
- Ingestion par partage de fichiers : le DC écrit (ou copie)
C:\Administration\Logs\DNSServer\*.zip vers \\fileserver\share\dns\$env:COMPUTERNAME\... (accorder les droits de partage et NTFS aux comptes ordinateurs DC ou au groupe Domain Controllers si la tâche s’exécute en SYSTEM) - Modèle pull : un job central lit
\\dc\C$\Administration\Logs\DNSServer\*.zip (moins préféré ; nécessite les partages admin) - Agent forwarder : SIEM / pipeline de logs qui expédie les sorties
*.zip
Considérations opérationnelles
- Moindre privilège : les tâches s’exécutent en
SYSTEM ; assurez-vous que les dossiers locaux sont accessibles en écriture et que toute cible UNC accorde l’accès au compte ordinateur si utilisée. - Politique de signature : les deux tâches utilisent
-ExecutionPolicy RemoteSigned ; signez ou débloquez le script et le module déployés selon votre politique. - Utilisation disque :
-CompressOutput aide significativement, mais ce flux de travail ne supprime pas les journaux sources ; planifiez la rétention et le nettoyage. - Comportement de retraitement : sauf archivage ou suppression des journaux traités, la tâche de conversion retraitera chaque fichier
*.log non actif lors des exécutions ultérieures. C’est simple et robuste, mais cela peut écraser les sorties et créer des doublons en aval si votre collecteur ne déduplique pas. - Consolidation multi-DC :
-ComputerName $env:COMPUTERNAME est inclus pour que les jeux de données consolidés restent traçables. - Validation : la validation des en-têtes reste activée car la tâche n’utilise pas
-SkipHeaderValidation (recommandé).
Valider et adapter (avec le ZIP)
Utilisez l’archive ZIP comme implémentation de référence, puis alignez les aspects suivants à votre environnement :
- Portée cible : quels DC / OU reçoivent la stratégie
- Identité d’exécution : confirmez que les deux tâches planifiées utilisent le type de connexion prévu (
S4U vs InteractiveToken) ou normalisez-les selon votre standard - Création des dossiers : décidez si
C:\Administration\Scripts et C:\Administration\Logs\DNSServer sont pré-créés ailleurs ou doivent être créés par des éléments GPP supplémentaires - Chemins : confirmez que
C:\Administration\Scripts et C:\Administration\Logs\DNSServer correspondent à vos standards - Rétention : décidez de conserver ou non les journaux bruts et pour combien de temps (surtout si vous activez les options de nettoyage)
- Ingestion : confirmez où les sorties CSV/ZIP sont écrites et comment elles sont collectées centralement
Si vous souhaitez valider la configuration exacte de la GPO sans l’importer, les sources officielles dans ce dépôt sont :