欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  IT编程

Powershell 查询 Windows 日志的方法

程序员文章站 2022-06-17 08:18:10
论坛里面有人询问如何使用powershell脚本查询文件修改的审计日志,豆子服务器没开这个功能,不过尝试写了个类似的脚本可以查询日志,并输出对应的xml内容。 基本方法是...

论坛里面有人询问如何使用powershell脚本查询文件修改的审计日志,豆子服务器没开这个功能,不过尝试写了个类似的脚本可以查询日志,并输出对应的xml内容。

基本方法是get-winevent, 可以指定对应的eventid,获取列表。如果想获取这个事件具体的内容,需要根据不同事件的xml内容进行变化。

比如

Powershell 查询 Windows 日志的方法

根据这个思路,我如果想获取最新的20个4771的事件日志,并输出结果

Powershell 查询 Windows 日志的方法

有的时候,事件的数目很多,我希望对这个时间进行一个限制。千万别用 where-object 的方式来过滤,不然等到地老天荒也未必出结果。
我们需要通过哈希表来过滤

另外一种常见的方式是通过xmlfilter来过滤日志

首先,我们可以通过event viewer来自定义一个xpath

Powershell 查询 Windows 日志的方法

Powershell 查询 Windows 日志的方法

Powershell 查询 Windows 日志的方法

因为是不同的事件,他的eventdata结果是不一样的,因此我做了些变动。

结果如下

Powershell 查询 Windows 日志的方法

最后再给一个例子,我希望获取lockout用户的信息以及他们是在哪里被锁住的,这个日志我们查看4771或者4740。4771的日志过多,查询太慢,所以这里我已4740为例。

Powershell 查询 Windows 日志的方法

本文出自 “麻婆豆腐” 博客

相关标签: Windows 日志