Powershell 查询 Windows 日志

标签：powershell   xml   eventviewer   

论坛里面有人询问如何使用powershell脚本查询文件修改的审计日志，豆子服务器没开这个功能，不过尝试写了个类似的脚本可以查询日志，并输出对应的xml内容。

基本方法是get-winevent, 可以指定对应的eventid，获取列表。如果想获取这个事件具体的内容，需要根据不同事件的xml内容进行变化。

比如

$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname=‘Security‘;Id=4771} -MaxEvents 1
$eventXML = [xml]$Event.ToXml()
$eventxml.event.event.data

根据这个思路，我如果想获取最新的20个4771的事件日志，并输出结果

$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname=‘Security‘;Id=4771} -MaxEvents 20        
            
# Parse out the event message data            
ForEach ($Event in $Events) {            
    # Convert the event to XML            
    $eventXML = [xml]$Event.ToXml()            
    # Iterate through each one of the XML message properties            
    For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
     
            
        # Append these as object properties            
        Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].‘#text‘            
    }            
}            
  
    
$events | select Message, TargetUserName, ipaddress,timecreated | Out-GridView

有的时候，事件的数目很多，我希望对这个时间进行一个限制。千万别用 where-object 的方式来过滤，不然等到地老天荒也未必出结果。

这里我们需要使用xmlfilter进行过滤

我们可以通过event viewer来自定义一个xpath

因为是不同的事件，他的eventdata结果是不一样的，因此我做了些变动。

[xml]$xmlFilter = @"
<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[(EventID=1002) and TimeCreated[timediff(@SystemTime) &lt;= 604800000]]]</Select>
  </Query>
</QueryList>
“@
#Get-WinEvent -ComputerName $DC.DC -LogName Security -FilterXPath "*[System[(EventID=529 or EventID=644 or EventID=675 or EventID=676 or EventID=681 or EventID=4625) and TimeCreated[timediff(@SystemTime) &lt;= 86400000]]]" #-MaxEvents 50
$Events = Get-WinEvent -ComputerName syddc01 -FilterXML $xmlFilter
ForEach ($Event in $Events) {            
    # Convert the event to XML            
    $eventXML = [xml]$Event.ToXml()            
    # Iterate through each one of the XML message properties            
    For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
     
            
        # Append these as object properties            
        Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  "App" -Value $eventXML.Event.EventData.Data[5]           
    }            
}    
$Events | select Message, App, providerName, timecreated | Out-GridView

结果如下

通过上面这种方式，我们可以对一些常见的问题进行自动化处理，比如跟踪lockout的用户，传统的处理方式需要5~10分钟的时间，我需要使用lockoutstatus.exe获取对应的DC，然后在DC上搜索对应的事件和时间，查找对应的IP和用户名等等，现在脚本几十秒就可以获取到同样的信息了。

本文出自 “麻婆豆腐” 博客，请务必保留此出处http://beanxyz.blog.51cto.com/5570417/1695288

Powershell 查询 Windows 日志

标签：powershell   xml   eventviewer   

原文地址：http://beanxyz.blog.51cto.com/5570417/1695288