So rufen Sie Ereignisse aus Ereignisprotokollen mit PowerShell und ADAudit Plus ab

Das Get-WinEvent-CMDlet ist ein Ableger des ursprünglichen Get-EventLog-CMDlets. Damit erhalten Sie zusätzliche Möglichkeiten zum Abruf von Anwendungsprotokollen und Dienstprotokollen. Darüber hinaus gibt es auch eigenschaftenrelevante Unterschiede im Vergleich zu Get-EventLog. Get-WinEvent gibt Ihnen umfangreiche Informationen zu den in Ihrem System gespeicherten Protokollen an die Hand. Dieses CMDlet bietet Ihnen drei verschiedene Mittel zum Datenabruf – per

• FilterXML
• FilterHashtable
• FilterXPath

Obgleich Get-WinEvent Ihre Daten bereits mit relativ hohem Tempo extrahiert, ergibt es dennoch Sinn, sich nach einer schnelleren Lösung umzusehen, die weniger Aufwand voraussetzt, aber dennoch detaillierte und fein abgestimmte Ereignisprotokollberichte bietet. ADAudit Plus ist eine solche Lösung, die Ihnen den Abruf relevanter Berichtsdaten mit einer unkomplizierten Oberfläche erleichtert. Das praktische Werkzeug bringt auch eine integrierte Suchfunktion mit, mit denen Sie den gewünschten Ereignissen im Handumdrehen auf den Grund gehen. Nachstehend ein Vergleich, der Ihnen zeigt, wie Sie Ereignisprotokolle mit PowerShell und ADAudit Plus abrufen können.

Windows PowerShell

Schritte zum Abrufen von Ereignissen aus Ereignisprotokollen mit Windows PowerShell

• Führen Sie das Get-WinEvent-CMDlet aus. Dieses gibt klassische Protokolle und Windows-Protokolle zurück. Klassische Protokolle werden zuerst abgerufen.
• Geben Sie den „Computer name“ zum Protokollabruf über den lokalen Host an. Sie können auch eine „Recordcount“-Eigenschaft angeben, auf diese Weise nur Protokolle abrufen, die tatsächlich Daten enthalten.

Code:

 Copied

Get-WinEvent -ListLog * -ComputerName localhost | Where-Object { $_.RecordCount }

Protokolle von mehreren Servern sammeln Durch Einsatz eines „For Each“-Ausdrucks, mit dem eine Schleife zum Abruf von Protokollen mehrerer Server gebildet wird, können Sie auch Protokolle von mehreren Servern sammeln.

Code:

 Copied

$S = 'Server01', 'Server02', 'Server03'                                 ForEach ($Server in $S) {                                   Get-WinEvent -ListLog Application -ComputerName $Server |                                     Select-Object LogMode, MaximumSizeInBytes, RecordCount, LogName,                                       @{name='ComputerName'; expression={$Server}} |                                     Format-Table -AutoSize                                 }

Zum Kopieren des Skriptes klicken

ADAudit Plus

Schritte zum Abrufen von Ereignissen aus Ereignisprotokollen mit ADAudit Plus

• Melden Sie sich mit Administratorzugangsdaten an der ADAudit-Plus-Webkonsole an. Wechseln Sie zum Serveraudit-Register.
• Klicken Sie auf „Serverauditberichte“, wählen Sie „Systemereignisse“.

Bildschirmabbildung