Welcher Prozess fragt den DNS-Client

Mitglied: lcer00

lcer00 (Level 2) - Jetzt verbinden

16.01.2021 um 18:53 Uhr, 532 Aufrufe, 6 Kommentare

Hallo zusammen,

einer meiner Server fragt ständig generiert immer wieder DNS-Queries (vor allem Reverse-Anfragen), die von unserem Server (mit Forwarder 9.9.9.9 - eigentlich nur dieser! ) nicht beantwortet werden können (NXDOMAIN).

Wie bekomme ich heraus, welcher Prozess das auslöst (Server 2012R2).

Ich könnte raten (Prozess killen, und warten) aber die Queries sind nun auch nicht so häufig, da muss ich geschätzt 20 Minuten pro Prozess einplanen.

Auf dem Server läuft kein Mailserver und auch kein von außen verfügbarer Dienst.

Grüße

lcer
Mitglied: Pjordorf
16.01.2021 um 19:09 Uhr
Hallo,

Zitat von @lcer00:
einer meiner Server fragt ständig generiert immer wieder DNS-Queries (vor allem Reverse-Anfragen), die von unserem Server (mit Forwarder 9.9.9.9 - eigentlich nur dieser! ) nicht beantwortet werden können (NXDOMAIN).
Keine Domäne oder warum 9.9.9.9?

Auf dem Server läuft kein Mailserver und auch kein von außen verfügbarer Dienst.
ProcessMonitor und Co. oder TCPView usw.

Gruß,
Peter
Bitte warten ..
Mitglied: tikayevent
16.01.2021 um 19:42 Uhr
Wenn, dann netstat -b und dann mit einem Intervall in eine Textdatei schreiben lassen.

Die ersten beiden Anfragen, die du geliefert hast, landen bei Google, also stellt sich die Frage, ob du irgendeine Google oder Google-nahe Anwendung im Einsatz hast.

Die beiden anderen gehen in Microsoftnetze, also wird das ungleich schwieriger auf einem Microsoft Betriebssystem, weil ja schon alleine der MSFT NCSI ständig Anfragen stellt, um den Onlinestatus des Systems zu erfragen.
Bitte warten ..
Mitglied: altmetaller
16.01.2021 um 20:58 Uhr
Hallo,

da hast Du aber echt Schwein gehabt. Ich habe mich vor einiger Zeit mit dem Thema beschäftigt und wollte da längst mal einen Artikel für meine Heimseite drüber schreiben.

Was ich jetzt gerade getan habe. Insofern - danke für die Motivation^^

Du findest den (frisch erstellten) Artikel hier: Ursache für wpad DNS Abfragen ermitteln

Geiler Service, oder? :-) face-smile

Gruß,
Jörg
Bitte warten ..
Mitglied: lcer00
17.01.2021 um 08:43 Uhr
Hallo,

Netstat und tcpview fallen aus. Die DNS-Abfrage muss ja nicht vom unbekannten Prozess ausgelöst werden. Die kann ja über andere Protokolle weitergereicht werden. Tcpview hatte ich versucht, alle ausgehenden DNS-Verbindungen kamen von einem einzigen Systemprozess. Die Frage ist: wer fragt den DNS Client?

Procmon könnte das selbe Problem haben. Zumal es bei NXDOMAIN ja anschließend möglicherweise gar nicht zu einem Verbindungsaufbau kommt.

Die sysmon Variante klingt für mich am erfolgversprechendsten.

Das teste ich mal und werde berichten.

Grüße

lcer
Bitte warten ..
Mitglied: lcer00
17.01.2021 um 12:51 Uhr
Hallo,

die Sysmon-Variante führte schnell und sicher zum Ziel. Habe den schuldigen (fast) identifiziert. Es ist die PRTG-Probe die auf dem Rechner läuft. Warum die das macht, weiss ich noch nicht, aber das ist anderes Thema.

Danke für die sauber präsentierte Lösung. Ich habe nur noch den Ereignisanzeige-Filter etwas modifiziert.

Grüße

lcer
Bitte warten ..
Mitglied: altmetaller
LÖSUNG 17.01.2021, aktualisiert um 12:59 Uhr
Hallo,

Zitat von @lcer00:

die Sysmon-Variante führte schnell und sicher zum Ziel.

https://administrator.de/faq/32">https://administrator.de/faq/32 :-) face-smile

Gruß,
Jörg
Bitte warten ..
Heiß diskutierte Inhalte
Windows 10
Windows 7 pro Lizenz nutzen für Windows 10
lukas0209Vor 1 TagFrageWindows 1016 Kommentare

Hallo Community, ich versuche seit einigen Wochen unser Netzwerk von Windows Server 2008 R2 Standard auf Windows Server 2016 Essentials um, welches eine städtische ...

Microsoft
Staatsanwaltschaften verschicken Vorladungen in Sachen Windows 10 Lizenzkeys
kgbornVor 1 TagInformationMicrosoft4 Kommentare

Nur zu Info für die Käufer der eBay-Schnäppchen - neuer Fall Staatsanwaltschaften verschicken Vorladungen in Sachen Windows 10 Lizenzkeys

Windows Netzwerk
Telefone im Netzwerk bekannt machen
jannik0205Vor 1 TagFrageWindows Netzwerk13 Kommentare

Hallo Zusammen, In unserem Unternehmen gibt es eine Telefonanlage mit eigenem Telefonienetz (192.168.5.X). Schließe ich ein Telefon an eine Netzwerkdose, bekommt es vom DHCP- ...

Windows Netzwerk
WTS-Anmeldung per RDP am Wochenende verbieten?
MuM2810Vor 1 TagFrageWindows Netzwerk9 Kommentare

Hallo zusammen, wir haben bei uns Windows Server 2016 mit 2 Terminal Servern im Einsatz. Wie aus dem Titel schon ersichtlich ist, ist bei ...

Microsoft
Microsoft Teams - "bitte wenden Sie sich an (. . .) um Teams für "domäne" zu aktivieren" nur bei einem Benutzer
eastfrisianVor 1 TagFrageMicrosoft6 Kommentare

Hallo zusammen! Wir haben bei uns Teams als Hybridversion eingeführt (Exchange on premise, AD-Sync in die Cloud) und nutzen Teams über das basic-Abonnement. Während ...

Netzwerke
Keine Versand von Mails von der Firmen zur Privaten E-Mailadresse möglich
blaub33r3Vor 1 TagFrageNetzwerke6 Kommentare

Hallo zusammen, wieso kommt der User keine Mails mehr? Der Sender wird als Spamer betrachtet? 1. Mailing an andere Privaten Adressen / Firmen Adressen ...

Netzwerke
Netzwerklaufwerk - Nur Lesen (Streamen)
CryexXVor 1 TagFrageNetzwerke8 Kommentare

Hallo, ich hab mal ne Frage und hoffe auf Lösung. Mir schießt aktuell keine in den Kopf :( Ich möchte ein Netzlaufwerk freigeben. Auf ...

Router & Routing
Vodafone Kabel: Eigenen Router an den Kabelanschluss oder einen WLAN-Router ohne Modem hinter die Vodafone Station?
DyingWordsVor 1 TagFrageRouter & Routing6 Kommentare

Hallo zusammen, da wir demnächst in eine Wohnung mit Kabelanschluss von Vodafone einziehen werden, frage ich mich, ob es sinnvoller ist einen eigenen Router ...