使用Windows的事件跟蹤跟蹤DNS查詢/答案

可以使用哪個ETW提供程序來跟蹤DNS查詢/答案？我已經嘗試過Microsoft-Windows-DNS-Client，但它不提供任何數據。使用Windows的事件跟蹤跟蹤DNS查詢/答案

2015-08-08 joe-jeff

剛剛遇到這個尋找同樣的事情。 Sysmon似乎很有趣，但並沒有明確地保存這些信息。我會進行更多的研究，並會在我找到答案時回來。 – mbrownnyc

現在我已經發布在[technet論壇]（https://social.technet.microsoft.com/Forums/windows/en-US/90da479c-88c2-4243-ad4d-463e249602d7/etw-provider-for- DNS-問題 - 和答案？論壇= winserverPN）。 – mbrownnyc

-1

此提供程序已在Windows中可用。它可以被訪問，並通過啓動：

1）事件查看器\視圖菜單\顯示分析和調試日誌

2）遍歷事件查看器樹：\應用程序和服務日誌\ Microsoft \ Windows \ DNS客戶端事件\操作

您可以通過創建一個事件跟蹤會話在此獲得更精細的控制：

1）COMPMGMT.MSC \性能\數據採集器集\事件跟蹤會話\用鼠標右鍵單擊>新

2）添加提供商>Microsoft-Windows-DNS-Client

3）屬性>關鍵字（任意）>編輯>檢查所有和好的出配置。

4）右鍵單擊新創建的跟蹤會話>屬性>根據需要進行調整。嘗試設置停止條件，然後返回到文件選項卡並檢查循環。

我已確認此提供程序包含DNS問題和答案，均由本地緩存和服務器響應返回。

來源

2015-12-29 20:01:05 mbrownnyc

這隻會捕獲DNS查詢，但不會包含DNS答案。 –

第一種方法：DNS答案包含在事件ID「3008」和「3020」中。問題包含在事件ID中：'3006'和'3009'。 DNS緩存響應包含在事件ID中：'3018'。 – mbrownnyc

對於第二種方法：使用tracerpt -of xml查看結果並查找QueryResults（某些結果可能爲空，但您將獲得數據）。您還可以使用舊的ETL客戶端'xperfview'查看結果：http://i.imgur.com/59y5Gmn.png – mbrownnyc

使用Windows的事件跟蹤跟蹤DNS查詢/答案

回答

相關問題