¿Cómo filtrar el registro de eventos de Windows con comodines?

Question

Según el documentoaquí, se admite el comodín de asterisco y, por lo tanto, debería funcionar, por ejemplo, en.

*[EventData[Data[@Name='TargetUserName'] ='Usuario1*']]

pero no puedo hacer funcionar ningún filtro comodín. ¿Alguien ha podido hacerlo?

Answer 1

El selector XPath debe comenzar con *, sin embargo no puede usar * para filtrar campos ya que XPath 1.0 no tiene containsoperador.

https://blogs.technet.microsoft.com/askds/2011/09/26/advanced-xml-filtering-in-the-windows-event-viewer/

Limitaciones de XPath 1.0: el registro de eventos de Windows admite un subconjunto de XPath 1.0. Existen limitaciones sobre las funciones que funcionan en la consulta. Por ejemplo, puede utilizar las funciones position, Bandy timediffdentro de la consulta, pero otras funciones como starts-withy containsno son compatibles actualmente.

Answer 2

Usar PowerShell

Get-EventLog -LogName "System" | ?{$_.Message -like "*YourSearchString*"} | Out-GridView