windows - Powershell过滤来自Get-WinEvent的输出数据

Question

我如何只能写输出:

Time创建的

帐户名

帐户域

对象类型

和对象名称。

码:

Get-WinEvent -ComputerName DS1 -LogName Security -FilterXPath "*[System[EventID=4670 and TimeCreated[timediff(@SystemTime) <= 86400000]] and EventData[Data[@Name='ObjectType']='File']]"  | fl 

这是脚本的输出:

创建时间:2020-04-15 7:38:42 AM
ProviderName:Microsoft Windows安全审核
编号:4670
消息:对对象的权限已更改。

学科:
安全ID:S-9-9-291-9999999999-8999992562-9999999661-999999
帐户名称:todd
帐户域:dmn
登录ID:0x55555555555555

目的:
对象服务器:安全性
对象类型:文件
对象名称:F:\ Share \ share1 \ photo.png
句柄ID:0x70a2

处理:
进程ID:0x5
流程名称:

权限变更:
原始安全描述符:
新的安全描述符:O:S-9-9-291-9999999999-8999992562-9999999661-999999:DU

Answer 1

我无法测试您的过滤器是否真的可以工作，总线假设还可以，您这里有两个选择。

尝试使用很多尴尬的正则表达式

解析数据(尤其是 Message部分)

从XML

获取所需的数据

我更喜欢第二种选择:

$filter = "*[System[EventID=4670 and TimeCreated[timediff(@SystemTime) <= 86400000]] and EventData[Data[@Name='ObjectType']='File']]"
$result = Get-WinEvent -ComputerName DS1 -LogName Security -FilterXPath $filter | ForEach-Object {
    # convert the event to XML and grab the Event node
    $eventXml = ([xml]$_.ToXml()).Event
    $eventData = $eventXml.EventData.Data
    # output the properties you need
    [PSCustomObject]@{
        TimeCreated   = [DateTime]$eventXml.System.TimeCreated.SystemTime
        AccountName   = ($eventData | Where-Object { $_.Name -eq 'SubjectUserName' }).'#text'
        AccountDomain = ($eventData | Where-Object { $_.Name -eq 'SubjectDomainName' }).'#text'
        ObjectType    = ($eventData | Where-Object { $_.Name -eq 'ObjectType' }).'#text'
        ObjectName    = ($eventData | Where-Object { $_.Name -eq 'ObjectName' }).'#text'
        Computer      = $eventXml.System.Computer
    }
}

# output on screen
$result

# output to CSV file
$result | Export-Csv -Path 'X:\TheOutputFile.csv' -NoTypeInformation