Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Компьютеры + Интернет » Хочу все знать » Где найти описание синтаксиса XPath приложения wevtutil.exe

Ответить
Настройки темы
Где найти описание синтаксиса XPath приложения wevtutil.exe

Старожил


Сообщения: 169
Благодарности: 2


Конфигурация

Профиль | Отправить PM | Цитировать


Нужно отфильтровать системный журнал Event Viewer по разным критериям по XPath-запросу.
Не пойму, как указывать некоторые фильтры.
Есть ли где-то расширенное описание поддерживаемых команд для фильтрации, типа, можно ли использовать операторы like (поиск по подстроке), contains, регулярные выражения, как правильно сравнивать даты и прочее:
Код: Выделить весь код
wevtutil.exe qe Security /q:"*[EventData[Data[@Name='ProcessName']!='cmd.exe']]" /f:text > events.txt
wevtutil.exe qe Security /q:"*[System[TimeCreated[@SystemTime]]>'2024-03-24T00:17:15.8800000Z' ]" /f:text > events.txt
/? не предлагать (там того что надо - нет)

-------
Готовность человека меняться отражает степень его здравомыслия. Жак Фреско


Отправлено: 13:55, 27-03-2024

 

Аватара для NickM

Ветеран


Contributor


Сообщения: 4283
Благодарности: 1006

Профиль | Отправить PM | Цитировать


"Фильтрация событий Windows встроенными утилитами", читали?

Имелось ввиду, что лучше на powershell, в котором пост.обработка результатов намного легче (регулярные выражение и прочее), чем с консольным wevtutil.

Последний раз редактировалось NickM, 27-03-2024 в 14:23.


Отправлено: 14:13, 27-03-2024 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Новый участник


Сообщения: 3
Благодарности: 1

Профиль | Отправить PM | Цитировать


Привет!
К сожалению, подробная официальная документация по всем возможностям XPath для Event Viewer может быть не так легко найти, потому что Microsoft не предоставляет единого глубокого руководства по этому вопросу. Но возможно это будет тебе полезно для твоей задачи:
С XPath фильтрацией в Event Viewer действительно можно многое вытворять, но, к сожалению, не всё так просто с операторами типа like или регулярных выражений, как в SQL или других языках запросов.
В XPath, который используется в Event Viewer, есть оператор `contains()` для поиска подстрок, например:
Код: Выделить весь код
*[EventData[Data[@Name='ProcessName'] and contains(Data, 'cmd.exe')]]
Он найдёт события, где в данных события содержится 'cmd.exe'.
Оператора `like` как в SQL тут нет, но `contains()` выполняет похожую функцию.
Регулярные выражения, к сожалению, в XPath фильтрации Event Viewer не поддерживаются напрямую. В основном, приходится работать с тем, что есть в стандарте XPath 1.0.
Сравнение дат в твоём примере выглядит правильно:
Код: Выделить весь код
*[System[TimeCreated[@SystemTime] > '2024-03-24T00:17:15.8800000Z']]
Это даст тебе события, созданные после указанной даты.
Если нужна ещё более глубокая фильтрация, возможно, стоит посмотреть в сторону скриптов PowerShell с использованием cmdlet `Get-WinEvent`, который допускает более сложные логические выражения и работу с результатами запроса.
Надеюсь, это поможет тебе с фильтрацией журналов! Удачи!
Это сообщение посчитали полезным следующие участники:

Отправлено: 18:00, 07-04-2024 | #3


(*.*)


Сообщения: 36507
Благодарности: 6680

Профиль | Сайт | Отправить PM | Цитировать


Синтаксис XPath в журналах событий имеет множество ограничений https://learn.microsoft.com/en-us/wi...10-limitations

Цитата test009:
Нужно отфильтровать системный журнал Event Viewer по разным критериям по XPath-запросу. »
Без подробностей звучит как неправильно поставленная задача. Почему нужно фильтровать именно xpath? Есть PowerShell.

-------
Канал Windows 11, etc | Чат @winsiders


Отправлено: 20:33, 07-04-2024 | #4



Компьютерный форум OSzone.net » Компьютеры + Интернет » Хочу все знать » Где найти описание синтаксиса XPath приложения wevtutil.exe

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
[решено] Где найти утилиту sleep.exe? ChVL Автоматическая установка приложений 12 13-01-2017 17:03
Где найти утилиту reg.exe ;- semiono Автоматическая установка приложений 7 18-06-2009 17:15
где найти файлы ntkrnlmp.exe ntkrnlpa.exe ntkrpamp.exe ntoskrnl.exe krazy Автоматическая установка Windows 2000/XP/2003 4 20-11-2008 15:20
Прочее - Процесс обмена файлами в Винде ХР, протокол и описание где найти? nevadimka Сетевые технологии 3 13-03-2008 01:53
Подскажите где найти подробное описание характеристик памяти ES Хочу все знать 2 08-02-2008 08:07




 
Переход