Splunk 接入 Windows的DNS日志

windows 的dns日志目前在 wins 08之前的版本接入会出错，我自己实际部署过 wins2012是成功的

建议使用最新的 micorsoft add-on （当前版本8.0以上）去接入dhcp，下载地址https://splunkbase.splunk.com/app/742/ 。 然后将此包解压放到windows服务器上。

1. 先在windows服务器安装 splunk forwarder。安装过程如下 输入用户名密码，这个不重要。然后deployment server这里不填 indexer这里输入 splunk 服务器的地址
2. 将刚才解压完的add-on文件夹复制到 C:Program FilesSplunkUniversalForwarderetcapps
3. 进入该文件夹 default目录 ，用写字板打开 inputs.conf 找到dns这一节 修改为

[MonitorNoHandle://C:WindowsSystem32Dnsdns.log]
sourcetype = dns
disabled = 0
index = dnslog

然后在C:Program FilesSplunkUniversalForwarderetcsystemlocal 下创建props.conf 文件

CHARSET = GB2312
NO_BINARY_CHECK = true

4. 接下来在 C:Program FilesSplunkUniversalForwarderin 目录下找到文件 SplunkMonitorNoHandleDrv.inf ，右键点击选择安装 5.重启splunk 服务
5. 测试，如果 C:Program FilesSplunkUniversalForwardervarlogsplunksplunkd.log 文件如果出现以下 Error，则不会采集成功dns的日志
6. 假如没有的话，回到splunk上，搜索 index=dnslog 应该就可以看到dns的日志，并且有自动解析字段