一、初步工作

通过部署在网络的IDS（入侵检测系统）发现，防火墙存在异常DNS请求。我使用审计账户进去防火墙后，检查当时时间段的连接信息，定位到是服务器Ａ，这台服务器也是我们局域网内的DNS服务器，经火绒全盘杀毒，检测结果未报病毒、木马等。

在动手前，因为我只知道这个木马是通过dns协议和外部通信的，所以想起了前辈说的几个点：

①判断IDS的告警是否误报

②由哪个程序发起了请求

③通过什么方法找到这个程序

④如果这个木马文件确实存在，那A服务器是否有相关的自启进程，我通过什么方式检查开机自启的程序

二、服务器连接信息搜集

1.windows下查看目前连接的命令：

netstat -a

命令执行后未发现异常连接

2.查看dns服务日志

首先我去了这里看：控制面板-系统和安全-管理工具-DNS-全局日志-DNS事件，但没有找到有用的信息，只看到一些解析无效或失败的域名（这个域名是涉及必要业务的，我暂时不管这个）

这时候就奇怪为什么只有记录失败的，成功的日志呢？

网上搜了一下，在Windows上启用DNS日志记录给了一点启发，在对话框中键入eventvwr.msc，回车后，导航至应用程序和服务日志>> Microsoft >> Windows >> DNS客户端事件>>然后单击“启用日志”，我去这个路径所示的地方，发现目前dns客户端日志属性这里，没有开启日志记录，日志大小也为0KB，猜想应该是这个开关没有打开，因此我无法看到详细的DNS日志信息，就这样，我和网络工程师沟通，看能不能打开这个开关，以便下次出现告警时可以有溯源。

目前已经开启这个开关，等待日志收集了。