主页 / server / 问题 / 736140
Accepted
Mark Allison
Asked: 2015-11-14 05:29:34 +0800 CST

如何从文件中过滤 Windows 2003 安全日志？

  • 772

我有一个 evt 格式的 Windows 2003 安全日志文件。我需要按 EventID 540 过滤日志并从中生成唯一用户列表。我正在使用 Windows 7 机器来执行此操作。关于最佳方式的任何想法？

编辑

这个脚本为我做了

$ErrorActionPreference= 'silentlycontinue'
$users = @()
Get-WinEvent -FilterHashtable @{Path="C:\TEMP\LogonLogoffEvents.evtx";ProviderName="security";id=540} | foreach {
  $sid = $_.userid;
  if($sid -eq $null) { return; }
  $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid);
  $objUser = $objSID.Translate([System.Security.Principal.NTAccount]);
  if ($users -NotContains $objUser.Value) {
    $users += $objUser.Value
    $objUser.Value >> "C:\temp\users.txt"
    }
}
windows-event-log

1 个回答

  1. Best Answer

    PowerShell 是你的朋友：使用 PowerShell 解析保存的事件日志

    • 3

相关问题