使用Windows的事件跟踪跟踪DNS查询/答案

可以使用哪个ETW提供程序来跟踪DNS查询/答案？我已经尝试过Microsoft-Windows-DNS-Client，但它不提供任何数据。使用Windows的事件跟踪跟踪DNS查询/答案

2015-08-08 joe-jeff

刚刚遇到这个寻找同样的事情。 Sysmon似乎很有趣，但并没有明确地保存这些信息。我会进行更多的研究，并会在我找到答案时回来。 – mbrownnyc

现在我已经发布在[technet论坛]（https://social.technet.microsoft.com/Forums/windows/en-US/90da479c-88c2-4243-ad4d-463e249602d7/etw-provider-for- DNS-问题 - 和答案？论坛= winserverPN）。 – mbrownnyc

-1

此提供程序已在Windows中可用。它可以被访问，并通过启动：

1）事件查看器\视图菜单\显示分析和调试日志

2）遍历事件查看器树：\应用程序和服务日志\ Microsoft \ Windows \ DNS客户端事件\操作

您可以通过创建一个事件跟踪会话在此获得更精细的控制：

1）COMPMGMT.MSC \性能\数据采集器集\事件跟踪会话\用鼠标右键单击>新

2）添加提供商>Microsoft-Windows-DNS-Client

3）属性>关键字（任意）>编辑>检查所有和好的出配置。

4）右键单击新创建的跟踪会话>属性>根据需要进行调整。尝试设置停止条件，然后返回到文件选项卡并检查循环。

我已确认此提供程序包含DNS问题和答案，均由本地缓存和服务器响应返回。

来源

2015-12-29 20:01:05 mbrownnyc

这只会捕获DNS查询，但不会包含DNS答案。 –

第一种方法：DNS答案包含在事件ID“3008”和“3020”中。问题包含在事件ID中：'3006'和'3009'。 DNS缓存响应包含在事件ID中：'3018'。 – mbrownnyc

对于第二种方法：使用tracerpt -of xml查看结果并查找QueryResults（某些结果可能为空，但您将获得数据）。您还可以使用旧的ETL客户端'xperfview'查看结果：http://i.imgur.com/59y5Gmn.png – mbrownnyc

使用Windows的事件跟踪跟踪DNS查询/答案

回答

相关问题