PowerShell - Get-WinEvent

Kazun · Отправлено: **19:19, 07-08-2015** | #2

1) http://habrahabr.ru/post/215509/ - Zabbix может работать с EventLog и поддерживает regex в Template.

2) Xpath поддерживает только 3 функции: position, Band, timediff. Ограничения - Consuming Events

Поэтому использовать фильтр,который получает все сообщения , а фильтровать по Message можно уже с помощью стандартных средств.

Код:

Get-WinEvent ...... | Where {$_.Message -match "Шаблон"}

rough-84 · Отправлено: **10:24, 10-08-2015** | #3

Спасибо, похоже то, что надо, буду тестировать.
А что касается zabbix, то да он то умеет работать с логами, но он не пишет в базу поля из "Data", либо я не знаю как это сделать. В моём случае известные ошибки это не - коды, а некоторые строчки из "Data".

rough-84 · Отправлено: **11:53, 10-08-2015** | #4

Сдается мне дело было не в бабине...

Скрипт хорошо работает на тестовом ПК и выполняет поставленную задачу. К сожалению когда дело дошло до боевого теста, ничего не вышло. Покопавшись, я понял что фильтр Where {$_.Message -match "Шаблон"} не работает. Начал разбираться почему и понял что у меня запрос:
Get-WinEvent -LogName Application —FilterXPath "* [System [Provider[@Name='Website'] and (Level=2) and TimeCreated[timediff(@SystemTime) <= 1800000 ]]] " | fl
не забирает полное сообщение

TimeCreated : 8/10/2015 11:22:29 AM
ProviderName : Website
Id : 0
Message :

TimeCreated : 8/10/2015 11:15:22 AM
ProviderName : Website
Id : 0
Message :
Есть подозрение это из за того что собщение слишком велико, т.к меняя в запросе [Provider[@Name='Website'] на другие ошибки, они отображаются корректно и филтр так же работает.

Kazun · Отправлено: **12:02, 10-08-2015** | #5

http://blogs.msdn.com/b/monad/archiv...30/498432.aspx

Вывод функции из ссылки выше:

Код:

using-culture en-us {Get-WinEvent -LogName Application —FilterXPath "* [System [Provider[@Name='Website'] and (Level=2) and TimeCreated[timediff(@SystemTime) <= 1800000 ]]] " | fl}

rough-84 · Отправлено: **15:00, 13-08-2015** | #6

У меня кончился энтузиазм, пробавал и по примеру сделать и через другие языки програмирования, в результате везде поде Message оказывается пустым.
по примеру сделал:

Код:

Function Using-Culture (

[System.Globalization.CultureInfo]$culture = (throw "USAGE: Using-Culture -Culture culture -Script {scriptblock}"),

[ScriptBlock]$script= (throw "USAGE: Using-Culture -Culture culture -Script {scriptblock}")

) {

$OldCulture = [System.Threading.Thread]::CurrentThread.CurrentCulture

trap

{

[System.Threading.Thread]::CurrentThread.CurrentCulture = $OldCulture

}

[System.Threading.Thread]::CurrentThread.CurrentCulture = $culture

Invoke-expression "$script"

[System.Threading.Thread]::CurrentThread.CurrentCulture = $OldCulture

}


Using-Culture -Culture 'en-US' -Script {
Get-WinEvent -LogName Application —FilterXPath "* [ System [Provider[@Name='Website'] and TimeCreated[timediff(@SystemTime) <= 1800000 ] ] ]" | fl}

Выводит:

Код:

TimeCreated  : 8/13/2015 2:15:35 PM
ProviderName : Website
Id           : 0
Message      : 

TimeCreated  : 8/13/2015 2:09:41 PM
ProviderName : Website
Id           : 0
Message      : 

TimeCreated  : 8/13/2015 2:07:30 PM
ProviderName : Website
Id           : 0
Message      :

Kazun · Отправлено: **15:37, 13-08-2015** | #7

Приведите скриншот XML вида из EventLog. Попробовать выставить в Региональных настройках на сервер Английский язык, вместо Русского.

rough-84 · Отправлено: **18:08, 13-08-2015** | #8

До тестов на сервере, русского языка не использовал в принципе. Да и странно это как то, в Data нет русских символов. К тому же если делать фильтр на другие ошибки, например "SchedulerService", выводит нормально полное собщение, правда оно раза в 3 меньше по объему.

Ошибки все примерно одного содержания, а значит и размера строк

Код:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Website" /> 
  <EventID Qualifiers="0">0</EventID> 
  <Level>2</Level> 
  <Task>0</Task> 
  <Keywords>0x80000000000000</Keywords> 
  <TimeCreated SystemTime="2015-08-09T20:19:23.000000000Z" /> 
  <EventRecordID>32734394</EventRecordID> 
  <Channel>Application</Channel> 
  <Computer>BZVR012</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data>Exception Information: Fy.Common.RethrowException: FY_COMMON_EXCEPTION_EXTENSIONS_RETHROW_EXCEPTION_MESSAGE ---> System.Net.Sockets.SocketException: No connection could be made because the target machine actively refused it ***:7400 at System.Net.Sockets.Socket.DoConnect(EndPoint endPointSnapshot, SocketAddress socketAddress) at System.Net.Sockets.Socket.Connect(EndPoint remoteEP) at System.Net.Sockets.TcpClient.Connect(IPEndPoint remoteEP) at System.Net.Sockets.TcpClient.Connect(IPAddress address, Int32 port) at Fy.Common.Communications.SerialExchangeClient.ProviderConversation(SerialExchangeRequest request) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Fy.Common\Communications\SerialExchangeClient.cs:line 70 --- End of inner exception stack trace --- at Fy.Google.Translate.Proxy.TranslateProxyClient.Translate(String[] text, String source, String target, Boolean cacheOnly) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Fy.Google.Translate\Proxy\TranslateProxyClient.cs:line 71 at Fy.Ion.IonRecord.Translate(TranslateProxyClient client, ICollection`1 result, Boolean cacheOnly) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Fy.Ion\IonRecord.cs:line 192 at Fy.Ion.IonRecord.Translate(TranslateProxyClient translator, Boolean cacheOnly) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Fy.Ion\IonRecord.cs:line 229 at ChowX.Models.Product2DetailsViewModel.LoadAssortment(ContainerContext dbContext, TranslateProxyClient translator) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Www\Models\Product2DetailsViewModel.cs:line 505 at ChowX.Models.Product2DetailsViewModel.<>c__DisplayClass38.<.ctor>b__3() in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Www\Models\Product2DetailsViewModel.cs:line 64 at Fy.Web.Utilites.Perfmon.Measure[T](String header, Func`1 func) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Fy.Web\Utilites\Perfmon.cs:line 18 at ChowX.Models.Product2DetailsViewModel..ctor(ContainerContext dbContext, InterimRecordInt64 instance, DataRow source, Guid userId, FyHttpRequestContext requestContext, TranslateProxyClient translator, String[] urlReferrerSegments) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Www\Models\Product2DetailsViewModel.cs:line 63 at ChowWww.Controllers.ProductController.Product(Nullable`1 id) in c:\TeamCity\buildAgent\workNew\f174505babd3d462\Dist\Www\Controllers\ProductController.cs:line 96 at lambda_method(Closure , ControllerBase , Object[] ) at System.Web.Mvc.ReflectedActionDescriptor.Execute(ControllerContext controllerContext, IDictionary`2 parameters) at System.Web.Mvc.ControllerActionInvoker.InvokeActionMethod(ControllerContext controllerContext, ActionDescriptor actionDescriptor, IDictionary`2 parameters) at System.Web.Mvc.ControllerActionInvoker.<>c__DisplayClass15.<InvokeActionMethodWithFilters>b__12() at System.Web.Mvc.ControllerActionInvoker.InvokeActionMethodFilter(IActionFilter filter, ActionExecutingContext preContext, Func`1 continuation) at System.Web.Mvc.ControllerActionInvoker.InvokeActionMethodFilter(IActionFilter filter, ActionExecutingContext preContext, Func`1 continuation) at System.Web.Mvc.ControllerActionInvoker.InvokeActionMethodWithFilters(ControllerContext controllerContext, IList`1 filters, ActionDescriptor actionDescriptor, IDictionary`2 parameters) at System.Web.Mvc.ControllerActionInvoker.InvokeAction(ControllerContext controllerContext, String actionName) Request information: AbsolutePath: /product/444403916 AbsoluteUri: http://.com/product/444403916 LocalPath: /product/444403916 Authority: .com HostNameType: Dns IsDefaultPort: True IsFile: False IsLoopback: False PathAndQuery: /product/444403916 Segments: System.String[] IsUnc: False Host: .com Port: 80 Query: Fragment: Scheme: http OriginalString: http://.com:80/product/444403916 DnsSafeHost: .com IsAbsoluteUri: True UserEscaped: False UserInfo: User IP address: IP URL Referrer: AbsolutePath: /catalog/sp AbsoluteUri: http://.com/catalog/sp LocalPath: /catalog/sp Authority: .com HostNameType: Dns IsDefaultPort: True IsFile: False IsLoopback: False PathAndQuery: /catalog/sp Segments: System.String[] IsUnc: False Host: .com Port: 80 Query: Fragment: Scheme: http OriginalString: http://.com/catalog/sp DnsSafeHost: .com IsAbsoluteUri: True UserEscaped: False UserInfo: Cookies: Name: Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 2 HasKeys: False Values: 2 Name: ab_test_i_name Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: add_color_size HasKeys: False Values: add_color_size Name: ab_test__variant Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 1 HasKeys: False Values: 1 Name: PageSize Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 20 HasKeys: False Values: 20 Name: OpenProductsInNewWindow Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: True HasKeys: False Values: True Name: GuestGUID Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 120ca978-7d12-47a9-ac80-f9ff626de1b4 HasKeys: False Values: 120ca978-7d12-47a9-ac80-f9ff626de1b4 Name: viewcurrency Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: RUB HasKeys: False Values: RUB Name: user_screen_resolution Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 1366 HasKeys: False Values: 1366 Name: __utma Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 171566968.1168299203.1428427342.1439147293.1439149843.30 HasKeys: False Values: 171566968.1168299203.1428427342.1439147293.1439149843.30 Name: __utmz Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 171566968.1439147293.29.27.utmcsr=yandex|utmccn=12800657_rsya__obshee|utmcmd=cpc|utmctr=РєСѓРїРёС‚СЊ%20РєСѓСЂС‚РєСѓ%20Р¶РµРЅСЃРєСѓСЋ%20РЅРµРґРѕСЂРѕРіРѕ|utmcct=904546848_3483162262_РєСѓРїРёС‚СЊ%20РєСѓСЂС‚РєСѓ%20Р¶РµРЅСЃРєСѓСЋ%20РЅРµРґРѕСЂРѕРіРѕ HasKeys: True Values: 171566968.1439147293.29.27.utmcsr=yandex%7cutmccn%3d12800657_rsya__obshee%7cutmcmd%3dcpc%7cutmctr%3dРєСѓРїРёС‚СЊ%2520РєСѓСЂС‚РєСѓ%2520Р¶РµРЅСЃРєСѓСЋ%2520РЅРµРґРѕСЂРѕРіРѕ%7cutmcct%3d904546848_3483162262_РєСѓРїРёС‚СЊ%2520РєСѓСЂС‚РєСѓ%2520Р¶РµРЅСЃРєСѓСЋ%2520РЅРµРґРѕСЂРѕРіРѕ Name: cross-test Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 2 HasKeys: False Values: 2 Name: ab-test-size-tables Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 1 HasKeys: False Values: 1 Name: aprt_last_partner Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: yandex HasKeys: False Values: yandex Name: __utmv Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 171566968.|3=Affilated=Actionpay=1^4=my=51446912=1^5=userID=1168299203=1 HasKeys: True Values: 171566968.%7c3=Affilated%3dActionpay%3d1%5e4%3dmy%3d51446912%3d1%5e5%3duserID%3d1168299203%3d1 Name: _EmailSubscription Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: HasKeys: False Values: Name: crossss Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: DDE43B7229E04054B7DC9555C47B6438 HasKeys: False Values: DDE43B7229E04054B7DC9555C47B6438 Name: ab_test_group_id_informers Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 1 HasKeys: False Values: 1 Name: crossss_basket Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 055e6646-2bc0-468a-8184-a5990f3aa8a9 HasKeys: False Values: 055e6646-2bc0-468a-8184-a5990f3aa8a9 Name: _Utm Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: utm_source|yandex||utm_medium|cpc||utm_campaign|12800657_rsya__obshee||utm_content|904546848_3483162262_РєСѓРїРёС‚СЊ РєСѓСЂС‚РєСѓ Р¶РµРЅСЃРєСѓСЋ РЅРµРґРѕСЂРѕРіРѕ||utm_term|РєСѓРїРёС‚СЊ РєСѓСЂС‚РєСѓ Р¶РµРЅСЃРєСѓСЋ РЅРµРґРѕСЂРѕРіРѕ HasKeys: False Values: utm_source%7cyandex%7c%7cutm_medium%7ccpc%7c%7cutm_campaign%7c12800657_rsya__obshee%7c%7cutm_content%7c904546848_3483162262_РєСѓРїРёС‚СЊ+РєСѓСЂС‚РєСѓ+Р¶РµРЅСЃРєСѓСЋ+РЅРµРґРѕСЂРѕРіРѕ%7c%7cutm_term%7cРєСѓРїРёС‚СЊ+РєСѓСЂС‚РєСѓ+Р¶РµРЅСЃРєСѓСЋ+РЅРµРґРѕСЂРѕРіРѕ Name: Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: http://.com/product/437227288?source...gn=start_12_14 HasKeys: True Values: http%3a%2f%.com%2fproduct%2f437227288%3fsource=actionpay&apclick=80efc8cd-b7f3-7ccf-f048-014d04e1c8c9&apsource=51251&utm_medium=pp&utm_source=actionpay&utm_campaign=start_12_14 Name: location Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: RU HasKeys: False Values: RU Name: %24%24test_cookie_enabled%24%24 Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: true HasKeys: False Values: true Name: __utmc Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 171566968 HasKeys: False Values: 171566968 Name: Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 2 HasKeys: False Values: 2 Name: Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: step_3_text_1 HasKeys: False Values: step_3_text_1 Name: Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 1 HasKeys: False Values: 1 Name: kameleoonPersonalizations Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: true/1439147294107 HasKeys: False Values: true%2f1439147294107 Name: kameleoonVisit Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: ggsoo4sxz6mmfllg/0/1439151583254/20150708/0/true HasKeys: False Values: ggsoo4sxz6mmfllg%2f0%2f1439151583254%2f20150708%2f0%2ftrue Name: kameleoonPersonalizationInactive-14225 Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: true HasKeys: False Values: true Name: __utmb Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 171566968.11.9.1439151228799 HasKeys: False Values: 171566968.11.9.1439151228799 Name: kameleoonPersonalizationInactive-14260 Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: true HasKeys: False Values: true Name: _ym_visorc_18296986 Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: w HasKeys: False Values: w Name: Basket Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 0|0 HasKeys: False Values: 0%7c0 Name: DreamBoxQuantity Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 0| HasKeys: False Values: 0%7c Name: __utmt Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: 1 HasKeys: False Values: 1 Name: kameleoonExperiment-14260 Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: undefined/undefined/true HasKeys: False Values: undefined%2fundefined%2ftrue Name: kameleoonExperiment-14225 Path: / Secure: False Shareable: False HttpOnly: False Domain: Expires: 01.01.0001 0:00:00 Value: undefined/undefined/true HasKeys: False Values: undefined%2fundefined%2ftrue</Data> 
  </EventData>
  </Event>

Kazun · Отправлено: **18:26, 13-08-2015** | #9

В PowerShell ISE,какие результаты?

Код:

$orgCulture = Get-Culture
[System.Threading.Thread]::CurrentThread.CurrentCulture = New-Object "System.Globalization.CultureInfo" "en-US"
Get-WinEvent -LogName Application —FilterXPath "* [System [Provider[@Name='Website'] and (Level=2) and TimeCreated[timediff(@SystemTime) <= 1800000 ]]] "
[System.Threading.Thread]::CurrentThread.CurrentCulture = $orgCulture

и

Код:

[System.Threading.Thread]::CurrentThread.CurrentCulture = New-Object "System.Globalization.CultureInfo" "en-US"
Get-WinEvent -LogName Application —FilterXPath "*[System [Provider[@Name='Website'] and (Level=2) and TimeCreated[timediff(@SystemTime) <= 1800000 ]]] " -MaxEvent 1 | Select -Exp Properties
[System.Threading.Thread]::CurrentThread.CurrentCulture = $orgCulture

rough-84 · Отправлено: **18:46, 13-08-2015** | #10