日志溯源53 条

DNS 查询与进程关联

只有客户端侧对进程级可见的 DNS 记录（如 Sysmon 22）才能把域名解析绑定到进程；仅靠 DNS 服务器日志无法完成这一步。

客户端	Sysmon 22（DNS 查询事件，含 QueryName 与 Image）
服务器	查询日志只有客户端 IP 与域名

查询进程级 DNS

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=22} -MaxEvents 5 | Select-Object TimeCreated, Id

先把域名时间与进程时间对齐，再去看该进程同刻的其他行为。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌