Как сделать XML фильтр события журнала Windows на вход/выход и блокировку/разблокировку компьютера пользователем?

Андрей Стрелков,

Странно... У меня четко Logon Type выдает 2 - вход и 7 - разблокировка. В ивенте 4624 нет блокировки. Есть еще тип 11 - кэшированный вход.

Вот взял с домашнего:
TimeCreated AccountName AccountDomain LogonType
23.04.2020 22:52:16 [e-mail] MicrosoftAccount 7
23.04.2020 22:52:08 DWM-2 Window Manager 2
23.04.2020 22:52:08 DWM-2 Window Manager 2
23.04.2020 22:52:06 UMFD-2 Font Driver Host 2

Вот такой код что-нибудь интересное выдаст ?

get-winevent -LogName Security -MaxEvents 1000 | Where-Object {$_.ID -eq '4624'} |         
   ? {$_.Properties[8].Value -eq '2' -or $_.Properties[8].Value -eq '7' -or $_.Properties[8].Value -eq '11'} |    
    Select-Object -Property TimeCreated,
                            @{Name='SecurityId';Expression={$_.Properties[4].Value}},
                            @{Name='AccountName';Expression={$_.Properties[5].Value}},
                            @{Name='AccountDomain';Expression={$_.Properties[6].Value}},
                            @{Name='LogonId';Expression={$_.Properties[7].Value}},
                            @{Name='LogonType';Expression={$_.Properties[8].Value}},
                            @{Name='Workstation';Expression={$_.Properties[11].Value}},
                            @{Name='LogonGuid';Expression={$_.Properties[12].Value}} |  Format-Table -AutoSize

Как сделать XML фильтр события журнала Windows на вход/выход и блокировку/разблокировку компьютера пользователем?

что-то у меня ссылки не вставляются...

Как сделать XML фильтр события журнала Windows на вход/выход и блокировку/разблокировку компьютера пользователем?

sorry:

Как сделать XML фильтр события журнала Windows на вход/выход и блокировку/разблокировку компьютера пользователем?

А 'Logon Type' пробовали использовать ? Я, для своих задач, фильтровал именно по типу.

Гляньте, может пригодится:

Как выделить определенные значения по дате?

20ivs, странно... точно помню в доке сообщалось, что каждое соединение использует как минимум 2 сессии: на прием и передачу. Плюс, если все удачно, то поднимает еще по одной сессии в каждом направлении. И может, кроме HTTP еще и 1 сессию UDP поднять. Ссылка осталась на работе, так что пока подтвердить не могу...

Так если у вас по одной сессии - зачем вам мой способ ?! У меня-то сразу были видны накладывающиеся диапазоны сессий на 1 пользователя после выгрузки и сортировки в .csv

Способ простой - выборка по юзеру + сортировка по TimeStart = TimeCreated - SessionDuration, потом только окончания диапазонов проверяются на попадание в предыдущий диапазон и либо откидывается, либо суммируется.

Как-то так. Удачи!

Как выделить определенные значения по дате?

О! Почти такой же скрипт делал - продолжительность подключения пользователя к шлюзу RD.
А вы что, хотите просто сложить SessionDuration ? Там же на 1 соединение до 4-5 сессий может быть. При чем сессии накладываются друг на друга. Т.е. одна еще не закончилась по 303 событию, а начинается другая...

Как Синтаксически правильно выполнить скрипт PowerShell?

сергей кузьмин, Все, понял - параметризация. Мерси!

Как Синтаксически правильно выполнить скрипт PowerShell?

А зачем вводить переменные ?.. Подскажите, может я чего не знаю ?
Вот так не короче будет ?

dir D:\Project -Directory | %{ & icacls $_.FullName /restore acl /t /c }

Возможна ли Инвентаризация ПО и выгрузка данных в Excel через PowerShell?

1. По софту, по запросу "powershell get installed software gallery" - первая ссылка Get-RemoteProgram Get list of installed programs o...

2. Вам для отчета что ли ?.. Для работы нужны данные, а не красивые таблички.

3. Извиняюсь, что такое ПКЗЯ не знаю. Но если нет программного доступа к удаленным хостам, то... ммм, сочувствую!

Скрипт убивание процесса?

Согласен, создавайте объекты с 2 свойствами - cpu, id и уже эти массивы объектов анализируйте.

...
$x1 = Get-Process -Name KeePass | select cpu,id
sleep $sleepseconds
$x2 = Get-Process -Name KeePass | select cpu,id
...

Как вернуть администратора учетной записи Windows 10?

Дмитрий Крымцев, рабочий вариант. Мы так периодически делаем. У нас доменные учетки и все локальные пользователи (в том числе и админские) отключены, согласно требованиям СИБ. И когда хост теряет доверительные отношения с доменом - то только этим методом и спасаемся. Раньше еще проще делали - заменяли в %windir%\system32 файл Utilman.exe на cmd.exe и при загрузке тыкали в кнопку спец.возможности - консоль и запускалась от имени system. Но с недавних пор Каспер начал проверять сустемные файлы и безопасникам начали сыпаться предупреждения, что, мол, подозрение на троян ))) Даже если возвращаешь исходный файл на место.

Как организовать цикл из динамически формирующихся элементов?

Jordan_H, Бум разбираться! Мерси за интересный вопрос!

Как организовать цикл из динамически формирующихся элементов?

Set-Variable comboboxOuNext$i.Visible -Value $false

а так ?

Как организовать цикл из динамически формирующихся элементов?

Зачем цикл-то использовать при отладке ?

Извиняюсь, ввывод надо вот этого (Get-Variable comboboxOuNext$i).Value | gm

Как организовать цикл из динамически формирующихся элементов?

Что выдает командлет Get-Variable comboboxOuNext$i | gm ?

Как организовать цикл из динамически формирующихся элементов?

Зачем так упорно лепить $ ?!

(Set-Variable comboboxOuNext$i).Value.Visible >>>>>>>> Перед наименованием comboboxOuNext Вы видите $ ?..

Как организовать цикл из динамически формирующихся элементов?

Аналогично и в Set-Variable, который Вам и нужен скорее всего.

Как организовать цикл из динамически формирующихся элементов?

Jordan_H, ну, все ясно...Вы бы хоть глянули что выдает командлет Get-Variable...

Короче, вместо этого get-Variable "$comboboxOuNext$i".visible

Надо использовать (Get-Variable comboboxOuNext$i).Value.Visible

Как организовать цикл из динамически формирующихся элементов?

Jordan_H, У Вас данные переменные уже есть ?.. Зачем Вы тогда используете командлет New-Variable ?
PoSh создаст просто "пустую", непривязанную ни к какому объекту переменную. Вам же надо получить уже существующие имена переменных - используйте Get-Variable

Как организовать цикл из динамически формирующихся элементов?

Dynamically create variables in PowerShell