背景

有电脑频繁外联恶意域名，需要定位是哪个进程发起的 DNS 查询。Sysmon 的 DNS 查询日志（事件 ID 22）可以记录每次 DNS 查询对应的进程，是解决此类问题的标准工具。

Sysmon 安装

Sysmon 是微软 Sysinternals 套件中的系统监控工具，下载地址：

https://learn.microsoft.com/zh-cn/sysinternals/downloads/sysmon

下载后解压，以管理员身份打开 PowerShell，进入解压目录执行安装：

.\Sysmon64.exe -i -n

参数说明：

• -i — 安装服务和驱动程序，可选择配置文件
• -c — 更新已安装的 Sysmon 驱动程序的配置，或转储当前配置
• -m — 安装事件清单（服务安装时自动安装）
• -s — 打印配置架构定义
• -u — 卸载服务和驱动程序（-u force 强制卸载）

-n 表示不安装事件清单（已通过 -i 安装），可减少安装步骤。

配置 DNS 查询监控

在 Sysmon 同目录下创建配置文件 sysmon_dns.xml：

<?xml version="1.0" encoding="UTF-8"?>
<Sysmon schemaversion="4.90">
  <HashAlgorithms>md5,sha256,IMPHASH</HashAlgorithms>
  <CheckRevocation/>
  <EventFiltering>
    <ProcessCreate onmatch="exclude">
      <Image condition="is">C:\Windows\System32\backgroundTaskHost.exe</Image>
    </ProcessCreate>
    <NetworkConnect onmatch="include">
      <Image condition="end with">.exe</Image>
    </NetworkConnect>
    <!-- 开启 DNS 查询日志，排除系统常见进程 -->
    <DnsQuery onmatch="exclude">
      <Image condition="is">C:\Windows\System32\svchost.exe</Image>
      <Image condition="is">C:\Windows\System32\SearchProtocolHost.exe</Image>
    </DnsQuery>
  </EventFiltering>
</Sysmon>

配置逻辑：

• NetworkConnect：只记录 .exe 进程的网络连接，过滤掉非可执行文件的连接噪声
• DnsQuery：排除 svchost.exe 和 SearchProtocolHost.exe 这两个系统进程的高频 DNS 查询，减少日志量
• ProcessCreate：排除 backgroundTaskHost.exe，避免后台任务进程的干扰

应用配置：

.\Sysmon64.exe -c sysmon_dns.xml

查看日志

打开事件查看器（Win + R → eventvwr.msc），路径：

应用程序和服务日志 → Microsoft → Windows → Sysmon → Operational

过滤事件 ID 22（DNS 查询），可以看到每次 DNS 查询的：

• 查询的域名
• 发起查询的进程路径和 PID
• 查询类型（A、AAAA、CNAME 等）
• 查询结果

Sysmon 事件 ID 速查

以下是 Sysmon 所有事件类型的简要说明：

卸载

如需卸载 Sysmon：

.\Sysmon64.exe -u