Powershell 查詢 Windows 日誌

標籤：powershell   xml   eventviewer   

論壇裡面有人詢問如何使用powershell指令碼查詢檔案修改的審計日誌，豆子伺服器沒開這個功能，不過嘗試寫了個類似的指令碼可以查詢日誌，並輸出對應的xml內容。

基本方法是get-winevent, 可以指定對應的eventid，擷取列表。如果想擷取這個事件具體的內容，需要根據不同事件的xml內容進行變化。

比如

$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname=‘Security‘;Id=4771} -MaxEvents 1$eventXML = [xml]$Event.ToXml()$eventxml.event.event.data

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M00/73/42/wKioL1X4-cOxNGptAADLqd6u8fc788.jpg" title="5.PNG" alt="wKioL1X4-cOxNGptAADLqd6u8fc788.jpg" />

根據這個思路，我如果想擷取最新的20個4771的事件記錄，並輸出結果

$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname=‘Security‘;Id=4771} -MaxEvents 20                    # Parse out the event message data            ForEach ($Event in $Events) {                # Convert the event to XML                $eventXML = [xml]$Event.ToXml()                # Iterate through each one of the XML message properties                For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) {                          # Append these as object properties                    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].‘#text‘                }            }                  $events | select Message, TargetUserName, ipaddress,timecreated | Out-GridView

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/73/42/wKioL1X4-iPDwCAuAANhZPcU2WY929.jpg" title="4.PNG" alt="wKioL1X4-iPDwCAuAANhZPcU2WY929.jpg" />

有的時候，事件的數目很多，我希望對這個時間進行一個限制。千萬別用 where-object 的方式來過濾，不然等到地老天荒也未必出結果。

這裡我們需要使用xmlfilter進行過濾

我們可以通過event viewer來自訂一個xpath

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/73/42/wKioL1X4-uqzi5EaAADOjL7kW3U689.jpg" style="float:none;" title="0.PNG" alt="wKioL1X4-uqzi5EaAADOjL7kW3U689.jpg" />

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/73/46/wKiom1X4-UWAiui2AAGGHaznvrM148.jpg" style="float:none;" title="1.PNG" alt="wKiom1X4-UWAiui2AAGGHaznvrM148.jpg" />

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/73/42/wKioL1X4-3yxulR8AAEV0mqB1HM575.jpg" style="float:none;" title="2.PNG" alt="wKioL1X4-3yxulR8AAEV0mqB1HM575.jpg" />

因為是不同的事件，他的eventdata結果是不一樣的，因此我做了些變動。

[xml]$xmlFilter = @"<QueryList>  <Query Id="0" Path="Application">    <Select Path="Application">*[System[(EventID=1002) and TimeCreated[timediff(@SystemTime) &lt;= 604800000]]]</Select>  </Query></QueryList>“@#Get-WinEvent -ComputerName $DC.DC -LogName Security -FilterXPath "*[System[(EventID=529 or EventID=644 or EventID=675 or EventID=676 or EventID=681 or EventID=4625) and TimeCreated[timediff(@SystemTime) &lt;= 86400000]]]" #-MaxEvents 50$Events = Get-WinEvent -ComputerName syddc01 -FilterXML $xmlFilterForEach ($Event in $Events) {                # Convert the event to XML                $eventXML = [xml]$Event.ToXml()                # Iterate through each one of the XML message properties                For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) {                          # Append these as object properties                    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  "App" -Value $eventXML.Event.EventData.Data[5]               }            }    $Events | select Message, App, providerName, timecreated | Out-GridView

結果如下

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M00/73/45/wKiom1X4-LfAh_1ZAAIHTGF2q2I120.jpg" style="float:none;" title="3.PNG" alt="wKiom1X4-LfAh_1ZAAIHTGF2q2I120.jpg" />

通過上面這種方式，我們可以對一些常見的問題進行自動化處理，比如跟蹤lockout的使用者，傳統的處理方式需要5~10分鐘的時間，我需要使用lockoutstatus.exe擷取對應的DC，然後在DC上搜尋對應的事件和時間，尋找對應的IP和使用者名稱等等，現在指令碼幾十秒就可以擷取到同樣的資訊了。

本文出自 “麻婆豆腐” 部落格，請務必保留此出處http://beanxyz.blog.51cto.com/5570417/1695288

Powershell 查詢 Windows 日誌