DNSServer.DebugLogParser on Modulo PowerShell DNSServer.DebugLogParser

Panoramica

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser è un modulo PowerShell che trasforma i file di log di debug del server DNS di Windows in dati CSV strutturati e analizzabili per analisi di sicurezza, monitoraggio delle prestazioni, risoluzione dei problemi e reportistica di conformità.

Cos’è un log di debug DNS?

Il logging di debug DNS è una funzionalità del server DNS di Windows che registra informazioni dettagliate sulle operazioni DNS. Quando abilitato, il server DNS scrive voci di log in un file di testo (tipicamente dns.log) nella directory del server DNS.

Formati di Output

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser può generare due tipi di output:

Un file di dati CSV contenente tutte le voci analizzate
File di statistiche opzionali per aggregazione giornaliera

Per vedere esempi reali di ciascun tipo di output, dai un’occhiata al campione in questo articolo.

File di dati CSV

Esempi di file di output:

en-US (senza dettagli): WithComputerName, NoComputerName
de-DE (senza dettagli): WithComputerName, NoComputerName
de-DE (con dettagli / JSON Details popolato per i blocchi di dettaglio Packet): WithComputerName, NoComputerName

Il file di dati CSV contiene tutte le voci di log analizzate con le seguenti colonne:

Best Practice Operative

Mon, 01 Jan 0001 00:00:00 +0000

Quando usi DNSServer.DebugLogParser in produzione:

Pianifica elaborazioni regolari
- Usa Utilità di Pianificazione per convertire automaticamente i nuovi file di log ogni giorno o settimana.
Ruota i log in modo appropriato
- I log di debug DNS possono crescere rapidamente; configura la rotazione a una dimensione gestibile (ad esempio 100MB).
Verifica l’output
- Controlla i primi file convertiti prima di automatizzare completamente.
Pianifica i requisiti di archiviazione
- Anche con la compressione, pianifica lo spazio in base al volume DNS e alla conservazione.
Proteggi i dati sensibili

Risoluzione dei problemi

Mon, 01 Jan 0001 00:00:00 +0000

Problemi comuni e soluzioni

“Il file non è un file di log di debug DNS valido”

Assicurati di convertire un vero file di log di debug del server DNS.
Il file dovrebbe iniziare con Message logging started at o contenere voci di query DNS.
Se sei sicuro che il file sia valido ma l’intestazione è diversa, usa -SkipHeaderValidation.

Il file di output è vuoto o incompleto

Verifica che il file di input contenga voci di log valide.
Alcuni log possono contenere solo informazioni di intestazione se non sono state effettuate query.
Controlla che il file di log non sia corrotto e contenga dati di query effettivi.

L’elaborazione è molto lenta

Assicurati di avere memoria sufficiente e che il disco non sia sovraccarico.
Considera di elaborare file di log più piccoli.
Valuta l’uso di -CompressOutput con elaborazioni programmate per gestire batch più piccoli.

Errori “Accesso negato”

Esegui PowerShell con i permessi appropriati per leggere i file di log sorgente e scrivere nella directory di destinazione.
I file di log DNS potrebbero richiedere accesso da amministratore.

L’output compresso è più grande del previsto

I log con molti valori unici si comprimono meno efficacemente; questo può essere normale.
La compressione ZIP comunque di solito ottiene una riduzione sostanziale.

Il file delle statistiche non corrisponde alle aspettative

Verifica di usare -OutputType Both o -OutputType Statistic.
Le statistiche sono conteggi aggregati (raggruppamenti giornalieri), quindi i valori rappresentano totali.

Segnalazione dei problemi

Se incontri problemi non coperti qui:

Convert-DNSDebugLogFile

Mon, 25 May 2026 00:00:00 +0000

SYNOPSIS

Trasforma i log di debug del server DNS di Windows in un formato CSV strutturato per analisi e report.

SYNTAX

__AllParameterSets

Convert-DNSDebugLogFile [-InputFile] <string[]> [[-OutputFile] <string>] [[-Delimiter] <string>]
 [[-ComputerName] <string>] [[-OutputType] <string>] [[-ContextFilter] <string[]>]
 [[-InputCulture] <cultureinfo>] [[-OutputCulture] <cultureinfo>] [-SkipHeaderValidation]
 [-RemoveSourceFile] [-CompressOutput] [-NoDetailsParsing] [-WhatIf] [-Confirm] [<CommonParameters>]

ALIASES

Questo cmdlet ha i seguenti alias,

Note di rilascio v1.2.0.0 (2026-01-25)

Sun, 25 Jan 2026 00:00:00 +0000

Aggiunte

NUOVO: Elaborazione di record multi-linea per i blocchi di dettaglio PACKET DNS
- Le voci di contesto PACKET possono ora includere informazioni dettagliate sulla connessione TCP/UDP e sulla struttura del messaggio DNS
- I blocchi di dettaglio vengono analizzati in formato JSON strutturato nella nuova colonna Details
- Include: informazioni sul socket, indirizzo/porta remota, dati temporali, struttura del messaggio (XID, Flags, QCOUNT, ecc.)
- Le sezioni DNS (QUESTION, ANSWER, AUTHORITY, ADDITIONAL) sono catturate con tutti i dettagli del record
- I nomi di dominio codificati nei blocchi di dettaglio vengono automaticamente convertiti in formato FQDN
NUOVO: colonna Details nell’output CSV
- Contiene dati JSON strutturati per le voci PACKET con blocchi di dettaglio
- Vuota per le voci PACKET senza dettagli e per tutti i contesti non-PACKET
- Permette un’analisi approfondita dei pacchetti e indagini forensi su query/risposte DNS
NUOVO: parametro switch NoDetailsParsing per ottimizzazione delle prestazioni
- Salta l’analisi JSON costosa dei blocchi di dettaglio PACKET
- Può migliorare la velocità di elaborazione del 30-50% per log con molti blocchi di dettaglio
- Da usare quando si elaborano file molto grandi (oltre 100MB) e non serve la struttura dettagliata dei pacchetti
- I blocchi di dettaglio vengono comunque raccolti nella colonna Information, ma la colonna Details resta vuota
NUOVO: supporto per continuazione multi-linea anche per contesti non-PACKET
- EVENT, Note, DSPoll e altri contesti possono ora estendersi su più righe
- Le righe di continuazione indentate vengono automaticamente unite al campo Information del record principale
- Conserva messaggi di errore completi, aggiornamenti di zona e output diagnostici
NUOVO: ContextFilter riconosce tipi di contesto aggiuntivi: DSPoll, Init, Lookup, Recurse, Remote, Tombstone
- Effetto: Convert-DNSDebugLogFile può ora includere/escludere queste voci diagnostiche e di ciclo di vita tramite -ContextFilter
NUOVO: output delle statistiche ora include due file dedicati
- _Statistic.csv: conteggi giornalieri dei record per tipo di contesto (Date, Context, Count, ComputerName)
- _PacketStatistic.csv: conteggi giornalieri PACKET per client/protocollo/direzione/tipo (Date, ClientIP, Protocol, Direction, QuestionType, Count, ComputerName)
- Vantaggio: report più mirati (volume contesto operativo vs. suddivisione traffico DNS)
Generazione JSON per i blocchi di dettaglio PACKET ottimizzata per prestazioni (analisi manuale invece di regex)

Modifiche

BREAKING: l’output CSV ora include 18 colonne (aggiunta colonna Details prima di ComputerName)
- Nuovo ordine colonne: DateTime, ThreadId, Context, PacketId, Protocol, Direction, ClientIP, Xid, Type, Opcode, FlagsHex, FlagsChar, ResponseCode, QuestionType, QuestionName, Information, Details, ComputerName
- Impatto: gli script che si basano sulle posizioni delle colonne devono essere aggiornati
- Vantaggio: capacità avanzate di analisi pacchetti senza modificare il comportamento della colonna Information esistente
Elaborazione delle righe dati rifattorizzata per leggere tutte le righe in memoria e rilevare efficientemente record multi-linea
- Prestazioni: impatto minimo grazie all’uso ottimizzato di List
- Vantaggio: consente un lookahead accurato per blocchi di dettaglio e righe di continuazione
I nomi delle query mancanti o codificati come vuoti ora vengono gestiti senza errori di parsing; l’output CSV conterrà un campo QuestionName vuoto se assente

Miglioramenti

Parsing di Convert-DNSDebugLogFile più robusto: validazione più rigorosa delle righe ed estrazione migliorata riducono righe spurie/invalide da log malformati mantenendo il formato CSV/statistiche
Rilevamento del contesto PACKET distingue tra query semplici e query con blocchi di dettaglio
Le righe vuote dopo voci PACKET senza dettagli vengono saltate correttamente
La decodifica dei nomi di dominio nei blocchi di dettaglio usa la funzione esistente ConvertTo-Fqdn per coerenza

Prestazioni

Velocità di elaborazione mantenuta per log senza blocchi di dettaglio
Lo switch NoDetailsParsing offre un miglioramento di velocità del 30-50% quando non serve il parsing JSON
Gestione efficiente dello stato durante l’elaborazione dei record multi-linea
Operazioni su stringhe ottimizzate (TrimStart, Join) invece di regex per la gestione delle righe di continuazione

Note

Queste modifiche sono progettate per essere retrocompatibili per un uso normale. Se ti basi su un set esatto di nomi di contesto o su un comportamento di parsing precedentemente rigoroso, verifica gli script a valle
La nuova colonna Details è sempre presente nell’output CSV; usa NoDetailsParsing per mantenerla vuota per prestazioni
Gli script esistenti che analizzano il CSV per posizione colonna devono considerare la nuova colonna Details (posizione 17, prima di ComputerName)

Note di rilascio v1.1.0 (2026-01-23)

Fri, 23 Jan 2026 00:00:00 +0000

Aggiunto

NUOVO: Parametro ContextFilter per l’analisi selettiva dei log
- Filtra le voci di log per tipo di contesto: PACKET (query/risposte DNS), EVENT (eventi del server) o Note (informazioni diagnostiche)
- Permette un’analisi mirata su specifici tipi di voci di log
- Predefinito: All (include tutti i tipi di contesto)
- Casi d’uso: Concentrarsi solo sul traffico DNS, monitorare eventi del server, risolvere problemi diagnostici
NUOVO: Campo Informazioni nell’output CSV
- Registra informazioni dettagliate per le voci di contesto EVENT e Note
- Esempi: “Il server DNS è stato avviato.”, “Caricamento della zona completato”, errori di socket, messaggi di stato interni
- Migliora la visibilità sugli eventi operativi e diagnostici del server DNS
- Il campo è popolato quando il contesto è EVENT o Note; vuoto per le voci PACKET

Modificato

BREAKING: La colonna ComputerName è ora sempre inclusa alla fine di tutti i record di output
- In precedenza: ComputerName veniva inclusa condizionatamente all’inizio quando il parametro era specificato
- Ora: ComputerName è sempre presente come ultima colonna; vuota se il parametro non è specificato
- Vantaggio: Struttura di output coerente semplifica la consolidazione di log da più server e l’elaborazione automatizzata
- Impatto: Gli script esistenti che analizzano la posizione delle colonne o si aspettano la presenza condizionata della colonna devono essere aggiornati

Aggiunto

Filtraggio del contesto per concentrarsi su specifici tipi di voci di log (PACKET, EVENT, NOTE) tramite il parametro ContextFilter

Migliorato

Rifattorizzata l’help basata su commenti per Convert-DNSDebugLogFile per maggiore chiarezza e sintesi
Aggiornate le descrizioni dei parametri per essere più informative e pratiche
Migliorata la documentazione degli esempi con casi d’uso più mirati e pratici
Aggiornato il file di help about_DNSServer.DebugLogParser per riflettere le funzionalità attuali
Potenziato il logging verbose per fornire informazioni di progresso più dettagliate durante l’elaborazione

v1.0.0 (2026-01-23)

Fri, 23 Jan 2026 00:00:00 +0000

Aggiunto

Rilascio iniziale
Convert-DNSDebugLogFile - Parser ad alte prestazioni per i file di log di debug del server DNS di Windows
Analizza tutti i 15 campi standard dai log di debug DNS in formato CSV strutturato
Supporta delimitatori CSV personalizzabili (predefinito: punto e virgola)
Colonna ComputerName opzionale per la consolidazione dei log da più server
Tre modalità di output: solo dati CSV, solo statistiche o entrambi
Riepiloghi statistici che aggregano l’attività per IP client, protocollo e tipo di query
Supporto pipeline per l’elaborazione batch di più file di log
Validazione dell’intestazione per garantire l’integrità dei dati (può essere bypassata se necessario)
Compressione automatica opzionale dei file di output (formato ZIP)
Rimozione opzionale dei file sorgente dopo l’elaborazione riuscita
Parsing e formattazione delle date sensibili alla cultura per server DNS internazionali
Ottimizzato per file di grandi dimensioni (oltre 100MB) utilizzando I/O in streaming e operazioni stringa efficienti
Compatibile con PowerShell 5.1+ (edizioni Desktop e Core)
Supporta i formati di log di Windows Server 2016+ e DNS Server 2012 R2 fino al 2025

Informativa Legale

Sun, 18 Jan 2026 00:00:00 +0000

Informazioni ai sensi dell’articolo 5 della Legge tedesca sui media telematici (TMG)

Informativa legale

Andreas Bellstedt
Brunnenstr. 38
75387 Neubulach
Germania

Contatto

Email: blog@andibellstedt.com

Forma giuridica / stato dell’attività

Questo sito web è gestito da un privato / imprenditore individuale.

Responsabile dei contenuti ai sensi dell’articolo 55(2) del Trattato tedesco sulla radiodiffusione interstatale (RStV)

Andreas Bellstedt
(Indirizzo sopra)

Responsabilità per i contenuti

In qualità di fornitore di servizi, siamo responsabili dei nostri contenuti su queste pagine in conformità con l’articolo 7(1) TMG secondo la legge generale. Ai sensi degli articoli 8–10 TMG, tuttavia, non siamo obbligati a monitorare le informazioni di terzi trasmesse o memorizzate né a indagare su circostanze che indicano attività illegali.

Informativa sulla privacy

Sun, 18 Jan 2026 00:00:00 +0000

Informativa sulla Privacy

1. Panoramica sulla Privacy

Note Generali

Le seguenti note forniscono una semplice panoramica su cosa succede ai tuoi dati personali quando visiti questo sito web. I dati personali sono tutti i dati con cui puoi essere identificato personalmente. Informazioni dettagliate sul tema della protezione dei dati possono essere trovate nella nostra informativa sulla privacy elencata sotto questo testo.

Raccolta dei Dati su Questo Sito Web

Chi è responsabile della raccolta dei dati su questo sito web?

Il trattamento dei dati su questo sito web è effettuato dall’operatore del sito. I loro dettagli di contatto possono essere trovati nella sezione “Avviso sul Titolare del Trattamento” in questa informativa sulla privacy.

Flusso di lavoro per l'analisi della sicurezza con SQL Server

Mon, 01 Jan 0001 00:00:00 +0000

Questo esempio mostra un flusso di lavoro pratico per l’analisi della sicurezza: analizza un log di debug DNS con Convert-DNSDebugLogFile, importa il CSV generato in SQL Server ed esegui una query che evidenzia volumi insolitamente alti di interrogazioni a record TXT.

Per la migliore interoperabilità, questo esempio scrive i timestamp in un formato simile all’ISO usando -OutputCulture 'sv-SE'.

Moduli richiesti

Questo esempio utilizza i seguenti moduli PowerShell:

DNSServer.DebugLogParser
SqlServer

Installali se necessario:

Informazioni sull'autore

Mon, 01 Jan 0001 00:00:00 +0000

Ciao a tutti!

Sono Andreas Bellstedt — un professionista IT con più di 20 anni di esperienza in ambienti aziendali. Di solito mi chiamano Andi.
Sono appassionato di tecnologia, ma ancora di più di applicarla in modo da migliorare affidabilità, sicurezza ed efficienza operativa.

Esempio di Attività Pianificata

Mon, 01 Jan 0001 00:00:00 +0000

Questo script crea un’attività pianificata di Windows che viene eseguita ogni giorno alle 2:00 AM. Importa il modulo ed elabora tutti i file di log nella cartella in cui viene eseguito lo script (in questo esempio “C:\Administration\Logs\DNS”). Il processo comprime l’output in file ZIP e rimuove l’originale per mantenere l’ordine.

$actionParams = @{
 Execute = "powershell.exe"
 Argument = '-ExecutionPolicy RemoteSigned -Command "Import-Module DNSServer.DebugLogParser; Get-ChildItem .\*.log | Sort-Object lastwritetime, Name -Descending | Convert-DNSDebugLogFile -ComputerName $env:COMPUTERNAME -Delimiter \";\" -OutputType Both -ContextFilter Packet -OutputCulture sv-SE -CompressOutput"'
 WorkingDirectory = "C:\Administration\Logs\DNS"
}
$Action = New-ScheduledTaskAction @actionParams

$Trigger = New-ScheduledTaskTrigger -Daily -At "2:00AM"

Register-ScheduledTask -TaskName "Process DNS Logs" -Action $Action -Trigger $Trigger -Description "Convert DNS debug logs to CSV daily"

Informazioni sul sito

Mon, 01 Jan 0001 00:00:00 +0000

Informazioni sulla build

Sito costruito con il tema [Docsy] per Hugo.

Utilizzo pratico in un ambiente di dominio (raccolta e conversione guidate da GPO)

Mon, 01 Jan 0001 00:00:00 +0000

Questo documento descrive un esempio pratico e completo di esecuzione di DNSServer.DebugLogParser in un ambiente di dominio Active Directory, focalizzato sulla conversione dei log di debug del server DNS di Windows sui controller di dominio.

Questo esempio è accompagnato da un archivio ZIP, che fornisce gli artefatti della policy utilizzati per implementare il flusso di lavoro descritto qui.
Gli artefatti più rilevanti sono il manifest di backup, il report GPO, Files.xml, Set-DNSServerDebugLogging.ps1 e ScheduledTasks.xml.

Risultati della ricerca

Mon, 01 Jan 0001 00:00:00 +0000