Registro de consultas
Amostra das consultas DNS em tempo real, com filtros, controle de retenção e uma busca forense que varre todo o histórico guardado em disco.
Onde fica: Monitoramento → Registro de consultas · rota /query-log
Permissão: query_log — Administrador, Operador e Gerente de Segurança
Subtítulo na tela: Amostragem de consultas DNS em tempo real
O que você vê é uma amostra, não o tráfego inteiro
O padrão de fábrica registra 1 a cada 100 consultas. Encontrar zero ocorrências de um domínio não prova que ele nunca foi consultado — prova que ele não caiu na amostra. A tela de Investigação estima o número real multiplicando pela taxa, e repete esse aviso em toda busca.
Abas
| # | PT | ES |
|---|---|---|
| 1 | Ao vivo | En vivo |
| 2 | Investigação | Investigación |
Aba 1 — Ao vivo
Cartão de status
O interruptor Ativo / Inativo liga e desliga a coleta. Ligar grava o sinalizador lido pelo serviço de borda; desligar interrompe a gravação na hora. O estado exibido vem do que o serviço está realmente fazendo, não apenas da configuração salva.
| Botão | O que faz |
|---|---|
| Pausar / Retomar | Congela a atualização automática da tabela. A coleta continua no servidor |
| Limpar arquivo | Zera o arquivo atual e apaga todos os rotacionados. Irreversível |
| CSV | Baixa apenas a página visível na tela, não o histórico |
| Config | Abre a configuração de amostragem, retenção e disco |
Ao lado ficam o tamanho do arquivo, a estimativa de entradas e a data da última escrita. Com a coleta ativa e sem pausa, a tabela recarrega a cada cinco segundos.
Limpar arquivo apaga também os rotacionados. Some o histórico que a aba Investigação consegue enxergar. Não há desfazer.
Filtros
| Campo | Valores | Padrão | O que muda |
|---|---|---|---|
| IP do cliente | Texto livre | vazio | Busca parcial no endereço de origem |
| Domínio (parcial) | Texto livre | vazio | Busca parcial no nome consultado, sem diferenciar maiúsculas |
| Tipo | Todos, A, AAAA, MX, CNAME, TXT, NS, PTR, SRV, HTTPS/SVCB | Todos | Igualdade exata do tipo de consulta |
| Status | Todos, respostas OK, domínio inexistente, falha de resolução, recusado, liberado, bloqueado | Todos | Igualdade exata do código de resposta |
| Itens por página | 25, 50, 100, 200 | 50 | Tamanho da página |
Os dois campos de texto esperam 400 milissegundos após a digitação antes de consultar. Os dois seletores aplicam na hora. O botão Limpar só aparece quando há filtro ativo.
A coluna de latência pode trazer um marcador de erro DNS detalhado, com o nome do erro no tooltip. Ele só existe quando o serviço de borda conseguiu capturá-lo.
Configuração
| Campo | Faixa | Padrão | O que muda |
|---|---|---|---|
| Taxa de amostragem | 1 a 10000 | 100 | Quantas consultas para cada uma gravada. Quanto menor, mais linhas e mais disco |
| Retenção automática (dias) | 0 a 365 | 0 (desligada) | Acima de zero, apaga linhas mais antigas que o prazo |
| Teto de disco total (MB) | 50 a 25000 | 300 | Espaço máximo. Ao encher, os registros mais antigos saem |
Dias e disco são limites independentes
Vale o que for atingido primeiro. Configurar 90 dias com um teto de 300 MB não retém 90 dias: o disco enche antes e o histórico mais antigo é descartado. A própria tela calcula a capacidade real e o histórico estimado e avisa quantos megabytes seriam necessários para cobrir os dias pedidos.
O Guia de amostragem projeta, com base no tráfego real medido, quanto cada taxa consome por dia e quanto histórico ela sustenta no teto atual. A taxa marcada com estrela é a mais detalhada que ainda mantém 24 horas de histórico. Sem tráfego medido, o guia informa que ainda não há dados suficientes.
A retenção por dias é aplicada ao salvar, ao abrir a tela e por uma rotina que roda de hora em hora. Ela replica no cluster, porque é decisão de política. A taxa de amostragem e o teto de disco não replicam: dependem do tráfego e do disco de cada servidor.
A coleta pode ser desligada sozinha
Se a gravação começar a pressionar a resolução, uma proteção interna desliga o registro e gera a notificação "Query-log desligado automaticamente". Isso mantém o DNS rápido, e não é replicado para os parceiros do cluster: é reação ao tráfego deste servidor.
Aba 2 — Investigação
É a busca forense. Diferente da aba Ao vivo, que lê apenas o fim do arquivo atual, a Investigação varre o arquivo corrente mais todos os rotacionados.
| Campo | Valores | Padrão | O que muda |
|---|---|---|---|
| Domínios (um por linha) | Até 500 domínios | vazio | Lista a procurar |
| Incluir subdomínios | Marcado ou não | desmarcado | Marcado, um domínio também casa com tudo abaixo dele |
| Período | Últimas 24h, últimos 7 dias, últimos 30 dias, todo o histórico em disco, personalizado | Últimos 7 dias | Recorte temporal. "Personalizado" revela data e hora de início e fim |
O resultado traz, por domínio: contagem na amostra, estimativa real (a contagem multiplicada pela taxa de amostragem), quantidade de IPs únicos, primeira e última ocorrência, e os endereços de origem. O rodapé informa quantos arquivos e quantas linhas foram varridos, e em quanto tempo.
O botão Exportar CSV baixa o resultado completo, com os endereços de origem já agregados.
A varredura tem teto de tempo e de linhas. Ao atingir qualquer um dos dois, o resultado é parcial e a tela avisa: "Varredura truncada (atingiu o teto de tempo/linhas)". Um resultado truncado pode omitir ocorrências reais. Estreite o período e repita.
Efeito da política de privacidade
Com o Modo LGPD estrito ligado em Conformidade, os endereços de origem passam a ser mascarados por faixa: a última parte do endereço IPv4 é zerada, e o IPv6 é reduzido ao prefixo. A tela sinaliza isso com a nota "IPs mascarados pela política LGPD do Compliance".
O mesmo mascaramento vale para Top IPs e Segurança em Relatórios.
O que depende desta tela
| Tela | O que perde com o registro desligado |
|---|---|
| Conformidade | Para de receber dados nas três camadas de retenção |
| Relatórios | Top IPs, Consumo e Comparador ficam vazios |
Armadilhas
- Tudo aqui é amostra. Com a taxa padrão, 99 de cada 100 consultas não são gravadas.
- A aba Ao vivo só lê o fim do arquivo atual. Filtrar por algo raro pode devolver zero porque a linha ficou fora da janela lida, não porque não existe. Use a Investigação.
- A contagem total da aba Ao vivo é aproximada, calculada sobre o trecho lido.
- Limpar arquivo apaga os rotacionados e destrói o histórico da Investigação.
- Dias e disco são limites separados. Configurar dias sem aumentar o disco não estende a retenção.
- A varredura da Investigação pode ser truncada e devolver resultado parcial.
- A coleta pode se desligar sozinha sob pressão de tráfego, com notificação.
- A latência aparece como zero para respostas abaixo de um segundo enquanto a configuração do serviço de borda não for regenerada.
- Taxa e teto de disco não replicam no cluster. Cada servidor tem os seus, e um parceiro pode ter histórico muito menor.
Roteiro
Investigar se um domínio suspeito foi consultado pelos assinantes: