$logPath = "C:\DNS_DEBUG.log"

if (Test-Path $logPath) {
    # Читаем файл построчно, чтобы не перегружать RAM
    Get-Content $logPath -ErrorAction SilentlyContinue | Where-Object { $_ -match "UDP Rcv" } | ForEach-Object {
        # Регулярное выражение: 
        # 1-я группа: IP-адрес
        # 2-я группа: Доменное имя (обычно идет после типа запроса, например [0001   A   (7)google(3)com(0)])
        if ($_ -match "(\d{1,3}(?:\.\d{1,3}){3}).*\]\s+\(?\d+\)?([a-zA-Z0-9\-\.]+)\(") {
            $ip = $Matches[1]
            $domain = $Matches[2].Trim('.') # Очищаем точки по краям
            
            # Создаем объект для группировки
            [PSCustomObject]@{
                IP     = $ip
                Domain = $domain
            }
        }
    } | Group-Object IP, Domain | Sort-Object Count -Descending | Select-Object -First 15 | ForEach-Object {
        [PSCustomObject]@{
            Count  = $_.Count
            IP     = $_.Values[0]
            Domain = $_.Values[1]
        }
    } | Format-Table -AutoSize
} else {
    Write-Host "Файл лога не найден по пути $logPath" -ForegroundColor Red
}

Read-Host "Нажмите Enter для выхода"

$logPath = "C:\DNS_DEBUG.log"

if (Test-Path $logPath) {
    Get-Content $logPath -ErrorAction SilentlyContinue | ForEach-Object {
        # Регулярное выражение ищет:
        # 1. Направление (UDP Rcv/Snd)
        # 2. IP адрес
        # 3. Домен в скобках в конце строки
        if ($_ -match "UDP (Rcv|Snd)\s+(\d{1,3}(?:\.\d{1,3}){3}).*\((?:\d+)\)(.*)\(0\)") {
            $direction = $Matches[1]
            $ip = $Matches[2]
            # Убираем цифры в скобках и заменяем их на точки
            $rawDomain = $Matches[3]
            $cleanDomain = [regex]::Replace($rawDomain, "\(\d+\)", ".")
            
            [PSCustomObject]@{
                Direction = $direction
                IP        = $ip
                Domain    = $cleanDomain
            }
        }
    } | Group-Object IP, Domain | Sort-Object Count -Descending | Select-Object -First 20 | ForEach-Object {
        [PSCustomObject]@{
            Count  = $_.Count
            IP     = $_.Group[0].IP
            Domain = $_.Group[0].Domain
            # Если нужно видеть, были это только входящие или исходящие
            Types  = ($_.Group.Direction | Select-Object -Unique) -join ", "
        }
    } | Format-Table -AutoSize
} else {
    Write-Host "Файл не найден" -ForegroundColor Red
}

Read-Host "Нажмите Enter для завершения"

# Включаем ограничение скорости ответов
Set-DnsServerResponseRateLimiting -Enforce $True -ResponsesPerSecond 5 -ErrorsPerSecond 5

# Создаем правило: если тип запроса ANY (ALL), то игнорировать его
Add-DnsServerQueryResolutionPolicy -Name "BlockANY" -Action IGNORE -QType "EQ,ANY"

Get-DnsServerQueryResolutionPolicy

Disable-DnsServerQueryResolutionPolicy -Name "BlockANY"

Remove-DnsServerQueryResolutionPolicy -Name "BlockANY"

# Пример: Блокировать ANY для всех, КРОМЕ вашей подсети (если она создана в ClientSubnet)
Add-DnsServerQueryResolutionPolicy -Name "BlockExternalANY" -Action IGNORE -QType "EQ,ANY" -ClientSubnet "NE,InternalSubnet"

Add-DnsServerClientSubnet -Name "InternalSubnet" -IPv4Subnet "192.168.1.0/24", "10.0.0.0/8"

Add-DnsServerQueryResolutionPolicy -Name "BlockExternalANY" -Action IGNORE -QType "EQ,ANY" -ClientSubnet "NE,InternalSubnet"

Get-DnsServerClientSubnet

Remove-DnsServerClientSubnet -Name "InternalSubnet"

$logPath = "C:\DNS_DEBUG.log"

if (Test-Path $logPath) {
    Write-Host "Анализирую лог, подождите..." -ForegroundColor Cyan
    
    Get-Content $logPath -ErrorAction SilentlyContinue | Where-Object { $_ -match "UDP Rcv" } | ForEach-Object {
        # Ищем IP, Тип запроса (после скобок []) и Домен
        if ($_ -match "UDP Rcv\s+(\d{1,3}(?:\.\d{1,3}){3}).*\]\s+([A-Z*]+)\s+\((?:\d+)\)(.*)\(0\)") {
            $rawDomain = $Matches[3]
            [PSCustomObject]@{
                IP     = $Matches[1]
                Type   = $Matches[2]
                Domain = [regex]::Replace($rawDomain, "\(\d+\)", ".")
            }
        }
    } | Group-Object Type, Domain | Sort-Object Count -Descending | Select-Object -First 20 | ForEach-Object {
        [PSCustomObject]@{
            Count  = $_.Count
            Type   = $_.Group[0].Type
            Domain = $_.Group[0].Domain
            # Пример IP, которые это запрашивают (первые 3 уникальных)
            TopClients = ($_.Group.IP | Select-Object -Unique -First 3) -join ", "
        }
    } | Format-Table -AutoSize
} else {
    Write-Host "Файл лога не найден." -ForegroundColor Red
}

Read-Host "Нажмите Enter для выхода"

# Добавляем TXT в список блокировки для внешних сетей
Set-DnsServerQueryResolutionPolicy -Name "BlockExternalANY" -QType "EQ,ANY,TXT"

Set-DnsServerResponseRateLimiting -Enforce $True -ResponsesPerSecond 5 -ErrorsPerSecond 5

$logPath = "C:\DNS_DEBUG.log"
$data = Get-Content $logPath -ErrorAction SilentlyContinue | Where-Object { $_ -match "UDP (Rcv|Snd)" } | ForEach-Object {
    if ($_ -match "UDP (Rcv|Snd)\s+(?:\d{1,3}(?:\.\d{1,3}){3}).*\]\s+([A-Z*]+)\s+\((?:\d+)\)(.*)\(0\)") {
        [PSCustomObject]@{
            Direction = $Matches[1]
            Type      = $Matches[2]
            Domain    = [regex]::Replace($Matches[3], "\(\d+\)", ".")
        }
    }
}

$data | Group-Object Type, Domain, Direction | Select-Object Count, @{N='Type';E={$_.Values[0]}}, @{N='Domain';E={$_.Values[1]}}, @{N='Dir';E={$_.Values[2]}} | 
Sort-Object Domain, Type | Format-Table -AutoSize

# Блокировка запросов К КОНКРЕТНОМУ чужому домену, который используют для атаки
Add-DnsServerQueryResolutionPolicy -Name "BlockAttackDomain" -Action IGNORE -FQDN "EQ,*.paloaltonetworks.com"

Set-DnsServerResponseRateLimiting -Enforce $True -ResponsesPerSecond 5 -ErrorsPerSecond 5

Add-DnsServerQueryResolutionPolicy -Name "BlockAttackTXT" -Action IGNORE -FQDN "EQ,*.paloaltonetworks.com,*.cigna.com,*.turing.com"

Set-DnsServerResponseRateLimiting -Enforce $True

Add-DnsServerQueryResolutionPolicy -Name "DropAttackDomains" -Action IGNORE -FQDN "EQ,*.paloaltonetworks.com,*.gm.com,*.cigna.com,*.turing.com"