Вопросы Теги

Журнал событий> Фильтр Текущий Журнал> XML>, где EventData содержит текст

pptp, не crypted (openvpn использующий ssl, но значение по умолчанию pptp конфигурация не использует), можно использовать ngrep или tcpdump или другой сниффинг для кэширования пакета.

3
задан 26 February 2013 в 20:24
3 ответа

Вы всегда можете использовать сценарий powershell и передать XML через функцию powershell where (поддерживает -contains -like -match):

nv.ps1 

$Query = @"
  <QueryList>
    <Query Id="0" Path="System">
      <Select Path="System">
        *[System[(EventID=20001)]]
      </Select>
    </Query>
  </QueryList>
"@

$events = Get-WinEvent -FilterXml $Query
ForEach ($Event in $Events) {
    # Convert the event to XML
    $eventXML = [xml]$Event.ToXml()
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  DriverVersion -Value $eventXML.Event.UserData.InstallDeviceID.DriverVersion
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  DriverDescription -Value $eventXML.Event.UserData.InstallDeviceID.DriverDescription
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  Data -Value $eventXML.Event.EventData.Data
}
$Events | Select TimeCreated, Id, DriverDescription, DriverVersion, ProviderName, @{Name="MessageData";Expression={$_.Message + $_.Data}} | Where {$_.DriverDescription -match "NVIDIA GeForce GTX*"} | Out-GridView
pause

Командная команда для его запуска (nv.cmd): 

powershell.exe -executionpolicy bypass "& '.\nv.ps1'"
3
ответ дан 3 December 2019 в 05:28

В ходе дальнейшего расследования я нашел ответ на этот вопрос в Stack Overflow: https://stackoverflow.com/questions/8671194/using-xpath-starts-with-or-contains-functions-to-search-windows-event-logs

Похоже, что это невозможно сделать поиск с использованием подстановочных знаков в журнале событий.

3
ответ дан 3 December 2019 в 05:28

В powershell:

get-winevent @{logname='application';providername='mydemo','anotherdemo';level=2,3} | 
  where { [xml]$xml = $_.toxml() 
  $xml.event.eventdata.data -match 'TCP Provider, error: 0' }

Если бы это было совпадение целой строки, это можно было бы сократить до:

get-winevent @{logname='application';providername='mydemo','anotherdemo';level=2,3; 
  data='TCP Provider, error: 0'}
0
ответ дан 14 April 2020 в 16:04

Теги

Похожие вопросы