論壇里面有人詢(xún)問(wèn)如何使用powershell腳本查詢(xún)文件修改的審計(jì)日志，豆子服務(wù)器沒(méi)開(kāi)這個(gè)功能，不過(guò)嘗試寫(xiě)了個(gè)類(lèi)似的腳本可以查詢(xún)?nèi)罩?，并輸出?duì)應(yīng)的xml內(nèi)容。
基本方法是get-winevent, 可以指定對(duì)應(yīng)的eventid，獲取列表。如果想獲取這個(gè)事件具體的內(nèi)容，需要根據(jù)不同事件的xml內(nèi)容進(jìn)行變化。
比如
$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname='Security';Id=4771} -MaxEvents 1
$eventXML = [xml]$Event.ToXml()
$eventxml.event.event.data
根據(jù)這個(gè)思路，我如果想獲取最新的20個(gè)4771的事件日志，并輸出結(jié)果
$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname='Security';Id=4771} -MaxEvents 20
# Parse out the event message data
ForEach ($Event in $Events) {
# Convert the event to XML
$eventXML = [xml]$Event.ToXml()
# Iterate through each one of the XML message properties
For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) {
# Append these as object properties
Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].'#text'
}
}
$events | select Message, TargetUserName, ipaddress,timecreated | Out-GridView
有的時(shí)候，事件的數(shù)目很多，我希望對(duì)這個(gè)時(shí)間進(jìn)行一個(gè)限制。千萬(wàn)別用 where-object 的方式來(lái)過(guò)濾，不然等到地老天荒也未必出結(jié)果。
我們需要通過(guò)哈希表來(lái)過(guò)濾
$endtime=get-date
$starttime=$endtime.addminutes(-1)
$eventcritea = @{logname='security';id=4740;starttime=$starttime;endtime=$endtime}
另外一種常見(jiàn)的方式是通過(guò)xmlfilter來(lái)過(guò)濾日志
首先，我們可以通過(guò)event viewer來(lái)自定義一個(gè)xpath
因?yàn)槭遣煌氖录?，他的eventdata結(jié)果是不一樣的，因此我做了些變動(dòng)。
[xml]$xmlFilter = @"
QueryList>
Query Id="0" Path="Application">
Select Path="Application">*[System[(EventID=1002) and TimeCreated[timediff(@SystemTime) lt;= 604800000]]]/Select>
/Query>
/QueryList>
“@
#Get-WinEvent -ComputerName $DC.DC -LogName Security -FilterXPath "*[System[(EventID=529 or EventID=644 or EventID=675 or EventID=676 or EventID=681 or EventID=4625) and TimeCreated[timediff(@SystemTime) lt;= 86400000]]]" #-MaxEvents 50
$Events = Get-WinEvent -ComputerName syddc01 -FilterXML $xmlFilter
ForEach ($Event in $Events) {
# Convert the event to XML
$eventXML = [xml]$Event.ToXml()
# Iterate through each one of the XML message properties
For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) {
# Append these as object properties
Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name "App" -Value $eventXML.Event.EventData.Data[5]
}
}
$Events | select Message, App, providerName, timecreated | Out-GridView
結(jié)果如下
最后再給一個(gè)例子，我希望獲取lockout用戶(hù)的信息以及他們是在哪里被鎖住的，這個(gè)日志我們查看4771或者4740。4771的日志過(guò)多，查詢(xún)太慢，所以這里我已4740為例。
eventcritea = @{logname='security';id=4740}
$Events =get-winevent -ComputerName (Get-ADDomain).pdcemulator -FilterHashtable $eventcritea
#$Events = Get-WinEvent -ComputerName syddc01 -Filterxml $xmlfilter
# Parse out the event message data
ForEach ($Event in $Events) {
# Convert the event to XML
$eventXML = [xml]$Event.ToXml()
# Iterate through each one of the XML message properties
For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) {
# Append these as object properties
Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].'#text'
}
}
$events | select TargetUserName,timecreated, targetdomainname | Out-GridView -Title LockOutStatus
break;
Search-ADAccount -LockedOut | ForEach-Object {Unlock-ADAccount -Identity $_.distinguishedname }
本文出自 “麻婆豆腐” 博客
標(biāo)簽：湛江 運(yùn)城 岳陽(yáng) 鶴崗 德州 六盤(pán)水 濟(jì)南 山南
巨人網(wǎng)絡(luò)通訊聲明：本文標(biāo)題《Powershell 查詢(xún) Windows 日志的方法》，本文關(guān)鍵詞 Powershell,查詢(xún),Windows,日志,；如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問(wèn)題，煩請(qǐng)?zhí)峁┫嚓P(guān)信息告之我們，我們將及時(shí)溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡(luò)，涉及言論、版權(quán)與本站無(wú)關(guān)。
