使用 Powershell 从日志文本中提取用户名

Salve 发表于 Dev

药膏

我试图从事件查看器日志中提取所有登录尝试失败的用户名，然后只列出用户名。然而，每个条目的数据都是文本，所以我很难只提取名称（在这种情况下为 Intruder123）。这将是存储在一个数组中的几百个帐户名。

$String = Get-WinEvent @{LogName='Security';ProviderName='Microsoft-Windows-Security-Auditing';ID=4625 }  -ComputerName SECRETSERVER |
    Select-Object -ExpandProperty Message

$string -match "Account Name:       (?<content>.*)"
$matches['content']

数据如下所示（多次）：

Account For Which Logon Failed:
    Security ID:        S-1-0-0
    Account Name:       Intruder123
    Account Domain:     SECRET.LOCAL

跟随

我认为您可以收集更多信息，例如登录失败的时间以及在哪台计算机上。为此，创建一个结果对象数组。
此外，尝试解析 Message 属性可能很麻烦，我认为从事件中以 XML 形式获取信息要好得多：

$filter = @{LogName='Security';ProviderName='Microsoft-Windows-Security-Auditing';ID=4625 }
$result = Get-WinEvent -FilterHashtable $filter -ComputerName SECRETSERVER | ForEach-Object {
    # convert the event to XML and grab the Event node
    $eventXml = ([xml]$_.ToXml()).Event
    $userName = ($eventXml.EventData.Data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
    $computer = ($eventXml.EventData.Data | Where-Object { $_.Name -eq 'WorkstationName' }).'#text'
    # output the properties you need
    [PSCustomObject]@{
        Time     = [DateTime]$eventXml.System.TimeCreated.SystemTime
        UserName = $userName
        Computer = $computer
    }
}

# output on screen
$result

# output to CSV file
$result | Export-Csv -Path 'X:\FailedLogons.csv' -NoTypeInformation

本文收集自互联网，转载请注明来源。

如有侵权，请联系 [email protected] 删除。