Servidor DNS do Windows - como descobrir quem fez uma consulta?

Question

Temos um host em nosso ambiente que está tentando obter a pesquisa de DNS para um endereço de sumidouro conhecido. O servidor DNS está executando o Windows Server 2012.

Não conseguimos localizar o anfitrião no nosso ambiente.

Eu olhei no Google e no Stack Exchange, mas não consigo encontrar informações sobre quais logs exatos ou auditoria precisam ser ativados para rastrear o host (endereço IP ou MAC) que está fazendo essa solicitação?

    

Answer 1

Ative o Debug Logging no servidor DNS para isso.

1. Abra Gerenciador de DNS no menu Ferramentas do Gerenciador de Servidores
2. Clique com o botão direito do mouse no servidor DNS no painel esquerdo e clique em Propriedades
3. Clique na guia Log de depuração e marque a caixa de seleção Log packets for debugging
4. Para minimizar a quantidade de dados sendo registrados, desmarque as seguintes caixas de seleção:
   • Direção do pacote - Saída
   • Protocolo de transporte - TCP
   • Conteúdo do pacote - Atualizações
   • Tipo de pacote - Resposta
5. Na seção Arquivo de log , digite um caminho e um nome de arquivo para o log. Altere o valor Tamanho máximo (bytes) , se necessário.
6. Clique em OK .

QuandooclienteconsultaoservidorDNS,vocêveráumalinhacomoaseguintenoarquivodelog(nessecaso,oclienterealizouumaconsultaparasuperuser.com):

16-07-201719:51:550DB4PACKET000000FA30FDFB60UDPRcv10.10.10.100000aQ[0001DNOERROR]A(9)superuser(3)com(0)

OendereçoIPapósRcv(10.10.10.100)éoendereçoIPdoclientequerealizouaconsulta.

LEMBRE-SEparadesabilitaroLogdedepuraçãonoservidorDNSquandonãoformaisnecessário,poisissopodeafetarodesempenhodoservidor.

Log e diagnóstico de DNS