Wie filtert man das Windows-Ereignisprotokoll mit Platzhaltern?

Question

Laut dem DokumentHier, das Sternchen-Platzhalterzeichen wird unterstützt und sollte daher beispielsweise funktionieren.

*[EventData[Data[@Name='Zielbenutzername'] ='Benutzer1*']]

aber ich bekomme keinen Platzhalterfilter zum Laufen. Hat das schon mal jemand geschafft?

Answer 1

Der XPath-Selektor muss mit * beginnen. Sie können * jedoch nicht zum Filtern von Feldern verwenden, da XPath 1.0 keinen containsOperator hat.

https://blogs.technet.microsoft.com/askds/2011/09/26/advanced-xml-filtering-in-the-windows-event-viewer/

Einschränkungen von XPath 1.0: Das Windows-Ereignisprotokoll unterstützt eine Teilmenge von XPath 1.0. Es gibt Einschränkungen hinsichtlich der Funktionen, die in der Abfrage funktionieren. Sie können beispielsweise die Funktionen position, Band, und timediffinnerhalb der Abfrage verwenden, aber andere Funktionen wie starts-withund containswerden derzeit nicht unterstützt.

Answer 2

Verwenden Sie Powershell

Get-EventLog -LogName "System" | ?{$_.Message -like "*YourSearchString*"} | Out-GridView