Como filtrar o log de eventos do Windows com curinga?

Question

De acordo com o documentoaqui, o curinga asterisco é suportado e, portanto, deve funcionar, por exemplo.

*[EventData[Data[@Name='TargetUserName'] ='Usuário1*']]

mas não consigo fazer nenhum filtro curinga funcionar - alguém conseguiu fazer isso?

Answer 1

O seletor XPath deve começar com *, porém você não pode usar * para filtrar campos, pois o XPath 1.0 não possui containsoperador.

https://blogs.technet.microsoft.com/askds/2011/09/26/advanced-xml-filtering-in-the-windows-event-viewer/

Limitações do XPath 1.0: O Log de Eventos do Windows oferece suporte a um subconjunto do XPath 1.0. Existem limitações quanto às funções que funcionam na consulta. Por exemplo, você pode usar as funções position, Bande timediffna consulta, mas outras funções como starts-withe containsnão são suportadas atualmente.

Answer 2

Use o PowerShell

Get-EventLog -LogName "System" | ?{$_.Message -like "*YourSearchString*"} | Out-GridView