Eu duvido que você possa fazer isso depois do fato. Se você usar o dnsmasq , poderá ativar o registro de consultas do DNS: a linha de comando "--log-queries" opção parece correta, e eu suponho que há uma opção de arquivo de configuração também.
Parece que o BIND pode fazer a mesma coisa, já que "consultas" é uma das categorias válidas para uma configuração de "registro".
Isso também soa um pouco semelhante ao Snooping de cache DNS .