DNS Logs filtern

Für etwaige Recherchezwecke ist es manchmal sinnvoll, die Analytischen und Debugprotokolle in der Ereignisanzeige einzublenden.

Protokollname: Microsoft-Windows-DNS-Server/Analytical

Interessant an diesen Ereignissen sind die Attribute unterhalb der Elemente Sytem und EventData wie z.B.

<EventID>256</EventID>
<Data Name=”InterfaceIP”>172.18.32.220</Data>
<Data Name=”Source”>172.18.32.220</Data>
<Data Name=”Destination”>172.18.32.220</Data>
<Data Name=”QNAME”>der-windows-papst.de.</Data>

Diese geben Aufschluss darüber, welcher Client im Netzwerk welche DNS-Anfrage stellt und wer diese beantwortet.

Hier mal ein zusammenhängendes Beispiel:

DNS Server Analytical Filter

Mit der Powershell lassen sich die Daten wie folgt anzeigen.

DNS Analyse mit der Powershell FilterXPath

Get-WinEvent -oldest -LogName Microsoft-Windows-DNSServer/Analytical -FilterXPath “*[EventData[Data[@Name=’qname’]=’www.der-windows-papst.de.’]]”

Get-WinEvent -oldest -LogName Microsoft-Windows-DNSServer/Analytical -FilterXPath “*[EventData[Data[@Name=’InterfaceIP’]=’127.0.0.1′]]”

Get-WinEvent -oldest -LogName Microsoft-Windows-DNSServer/Analytical -FilterXPath “*[EventData[Data[@Name=’Source’]=’172.18.32.1′]]”

Get-WinEvent -oldest -LogName Microsoft-Windows-DNSServer/Analytical -FilterXPath “*[EventData[Data[@Name=’qname’]=’www.der-windows-papst.de.’] and EventData[Data[@Name=’Source’]=’172.18.32.1′]]” | Export-Csv -Path C:\Logs\Export.csv

Get-WinEvent -oldest -FilterHashtable @{LogName=’Microsoft-Windows-DNSServer/Analytical’} | Where-Object -Property Message -like ‘*www.der-windows-papst.de*’ | fl -Property Message

DNS Analyse mit der Powershell Startdatum

$StartTime= “7 April 2022 11:00”
$EndTime= “10 April 2022 12:00”

Get-WinEvent -oldest -MaxEvents 10 -FilterHashtable @{
LogName = “Microsoft-Windows-DNSServer/Analytical”
StartTime = $StartTime
EndTime = $EndTime
}

$StartTime= “9 April 2022 11:00”
$EndTime= “10 April 2022 12:00”

Get-WinEvent -oldest -MaxEvents 10 -FilterHashtable @{
LogName = “Microsoft-Windows-DNSServer/Analytical”
StartTime = $StartTime
EndTime = $EndTime
} | Select -expand Message

DNS Analyse mit der Powershell PSCustomObject

# LookUP
$FilterHashTable = @{
LogName = ‘Microsoft-Windows-DNSServer/Analytical’
ID = 279,257,256
StartTime = (Get-Date).AddHours(-20)
EndTime = Get-Date
}
$Events = Get-WinEvent -oldest -FilterHashtable $FilterHashTable | ForEach-Object {
$Values = $_.Properties | ForEach-Object { $_.Value }

[PSCustomObject]@{
ID = $_.ID
Time = $_.TimeCreated
InterfaceIP = $Values[1]
Source = $Values[2]
QNAME = $Values[4]
}
}

$Events | Format-Table -AutoSize

# RECURSE_QUERY
$FilterHashTable = @{
LogName = ‘Microsoft-Windows-DNSServer/Analytical’
ID = 260,261
StartTime = (Get-Date).AddHours(-20)
EndTime = Get-Date
}
$Events = Get-WinEvent -oldest -FilterHashtable $FilterHashTable | ForEach-Object {
$Values = $_.Properties | ForEach-Object { $_.Value }

[PSCustomObject]@{
Time = $_.TimeCreated
InterfaceIP = $Values[2]
Dest = $Values[1]
QNAME = $Values[4]
}
}

$Events | Format-Table -AutoSize

Mit den Values müsst ihr etwas spielen, wenn es um eine exakte Auswertung anhand einer Event-ID geht. Ein Value steht nicht immer für das gleiche Attribut.