Event Log - Čtení loginů

Prohlížeč událostí je součást operačního systému Windows od doby NT, která umožňuje správcům a uživatelům prohlížet protokoly událostí, obvykle přípony souborů .evt a .evtx, na místním nebo vzdáleném počítači.

• Grafická konzole : eventvwr.msc
• Powershell commandline příkazy: Get-Command | Select-String EventLog
• Powershell commandline příkazy pro uložené soubory .evt a .evtx: Get-Command | Select-String WinEvent

Získání informací o přihlášeních

Úspěšná přihlášení

Get-EventLog -LogName Security | Where { $_.InstanceId -eq 4624 -or 4648 } | Select TimeGenerated,EventID,EntryType,ReplacementStrings

Přihlášení určitého konta

• PS:

  Get-EventLog -LogName Security | Where { $_.ReplacementStrings -like 'LOCALSERVICE' } | Select TimeGenerated,EventID,EntryType,ReplacementStrings
  

• XML query:

  <QueryList>
   <Query Id="0" Path="Security">
    <Select Path="Security">
    *[
       EventData[Data[@Name='TargetUserName']='curameda']
       and
       EventData[Data[@Name='LogonType']='3']
     ]
    </Select>
   </Query>
  </QueryList>
  

Neúspěšná přihlášení

Get-EventLog -LogName Security | Where { $_.InstanceId -eq 4625 } | Select TimeGenerated,EventID,EntryType,ReplacementStrings

💡 Když přidám za Select ještě Message, dozvím se mnohem detailnější informace.