完全披露，我不是 Windows 管理员，也不是 Windows 专家。从 Windows 2012 r2 开始，支持在 Windows DNS 服务器中记录 DNS 分析日志。我的任务是将这些日志发送到远程服务器（最好使用 NXLog），但这似乎并不像我希望的那样微不足道。然而，我对 Windows 中的分析日志记录不熟悉，因此我可能错过了一种简单的方法。
我发现 Microsoft 的一篇文章描述了如何启用这种日志记录，另一篇文章描述了在网络取证中的使用. 但是，如果我使用日志轮换，除非我禁用分析源，否则我无法读取日志。但是，如果我不启用日志覆盖，并且一旦日志满了就删除，我可以读取日志但我无法清除它，除非我重新启动分析源。
我知道将这个分析日志发送到操作目的地是一种选择，但我一直无法弄清楚如何做到这一点。那可能吗？我知道一旦我在 DNS 服务器上达到 100k QPS 以上，性能可能会下降。
综上所述，我想要达到的目标与上面链接的网络取证文章中的内容相同，无论是哪种方式。我当前的“解决方案”包括一个停止源的脚本，将 hte 日志转储到 csv 文件，然后再次启动源，因此我能够获取数据。但是，我希望有一个更简化的解决方案。感谢任何指向帮助我实现上述目标的文章链接的指针。
我同意阅读 ETL 通道以获取 DNS 日志将是最好的解决方案，但前提是它们将被持续写入和访问 - 但事实并非如你提到的那样 - 。因此，我可以向您推荐几种收集 Windows DNS 服务器日志的解决方案：
我想我们已经在reddit上讨论过这个问题，所以我只是将链接放在这里以供进一步参考。