在哪可以找到Windows DNS服务器日志

Windows DNS 服务器日志在事件查看器中记录到三个位置，加上一个可选的文本文件：

• Microsoft → Windows → DNS-Server → Audit：区域和记录的更改。在当前的 Windows Server上默认开启。
• Microsoft → Windows → DNS-Server → Analytical：每个查询和响应。默认关闭并隐藏，直到您显示分析日志。
• DNS 服务器，在应用程序和服务日志下：例如启动、停止和区域加载错误的服务级事件。
• The 调试日志，启用DNS管理器中的文本文件，通常是C:WindowsSystem32dnsdns.log。

核心导出是从提升的命令提示符执行的一行命令：

wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx

网络上的几乎所有东西都会发起 DNS 查询，包括恶意软件。查询日志揭示 DNS 隧道、域生成算法和对已知恶意域的调用。审核日志揭示有人悄悄更改记录。Prime Core 有 {N} 条针对 DNS 数据的检测规则，映射到 {M} 项 MITRE ATT&CK 技术。其中包括：通过 DNS 的指挥与控制（T1071.004）和域生成算法（T1568.002）。

免费开始

在您开始之前

查询日志记录可能没有开启。 分析通道默认关闭。如果您正在调查已经发生的事件，服务器可能没有查询日志。您的选项是客户端（Sysmon 事件 22，或 DNS 客户端日志）、防火墙或代理日志，或网络传感器。现在开启将有助于以后的工作。

开启查询日志 （为未来）。在事件查看器中，选择 查看 → 显示分析与调试日志，然后右击 分析 下的 DNS-Server 并选择 启用日志。或者从命令行：

wevtutil sl "Microsoft-Windows-DNSServer/Analytical" /e:true

微软描述的负载较小，但在一个非常繁忙的解析器上，启用前请测试。

您需要在 DNS 服务器上或运行 DNS 的域控制器上使用提升的命令提示符。

导出日志

:: 记录和区域更改

wevtutil epl "Microsoft-Windows-DNSServer/Audit" C:logsdns_audit.evtx


:: 服务级事件

wevtutil epl "DNS Server" C:logsdns_server.evtx


:: 查询和响应（仅当启用了分析时）

wevtutil epl "Microsoft-Windows-DNSServer/Analytical" C:logsdns_analytical.evtx

分析通道与普通日志行为不同。事件查看器可能要求您禁用日志以便显示事件。PowerShell 的 Get-WinEvent 仅使用 -Oldest 读取它们。

调试日志 是纯文本，在 DNS 管理器 → 服务器属性 → 调试日志记录中配置的。它详细记录数据包，并在到达大小限制时滚动重写旧条目。如原样复制：复制 C:WindowsSystem32dnsdns.log C:logs。

需要注意的内容

上传并在 LogTotal 上查看

LogTotal 能够本地读取 EVTX。首先需要了解的事项： LogTotal 尚未能清理 EVTX 文件。 DNS 日志包含内部主机名和客户端 IP。将上传视为直接提供原始文件：适用于测试服务器；对于生产环境，首先获得数据处理负责人同意。

如果您今天需要清理，请先转换为 JSON：evtx_dump -o jsonl dns_audit.evtx > dns_audit.jsonl。

1. 上传。 打开 logtotal.com 并拖入文件。
2. 查看。

当出现问题时