Просмотр логов в реальном времени windows

Утилита tail идеально подходит для просмотра в реальном времени (с опцией -f) живых логов сетевого оборудования, серверов, а также логов отлаживаемых программ. В среде Linux и FreeBSD с этой утилитой проблем нет, она всегда под рукой, но как быть на платформе Windows?

Microsoft Windows [Version 6.3.9600]
(c) Корпорация Майкрософт (Microsoft Corporation), 2013. Все права защищены.
C:UsersAsus>tail
"tail" не является внутренней или внешней
командой, исполняемой программой или пакетным файлом.

Здесь опишу несколько альтернативных вариантов замены tail, которые можно установить и использовать на Windows.

[MinGW]

Это набор утилит Unix, перенесенных в среду Windows [1]. Установка вопросов не возникает, все происходит как обычно. После установки в переменной %Path% автоматом прописывается путь до бинарных файлов утилит, среди которых находится и tail.exe, так что теперь Вы можете пользоваться этой утилитой без проблем.

tail -f \путь_до_файлаlogfile.txt

Можно также скачать и установить утилиту tail отдельно [2]. Поместите файлы *.dll и tail.exe архива в папку system32 (cd %SystemRoot%system32), и Вы также сможете запускать tail из любого каталога.

[Tail для Win32]

Tail for Win32 — специальная версия UNIX-утилиты tail для Windows. Она может использоваться по своему обычному назначению, для мониторинга изменения содержимого файлов. Утилита распространяется в скомпилированном виде и с открытым исходным кодом, и снабжена архитектурой плагинов, которая позволяет выдавать оповещения при появлении в отслеживаемых файлов определенных ключевых слов. В настоящий момент доступен плагин MAPI, и ведутся работы по созданию версии SMTP. Утилита имеет следующие возможности:

• Можно сразу отслеживать содержимое нескольких файлов в реальном времени.
• Можно детектировать появление ключевых слов и подсвечивать их.
• Можно отправлять оповещение через SMTP или MAPI о появлении ключевых слов.
• Архитектура плагинов позволит Вам написать специализированные обработчики отслеживаемых логов.
• Можно обрабатывать файлы любого размера на всех типах носителей (расположенных как локально, так и в сети).

Подробнее информацию см. на страничке проекта [3].

[Другие варианты замены tail на платформах Windows и Unix]

Get-Content myTestLog.log –Wait

Get-Content myTestLog.log -wait | where { $_ -match “WARNING” }

[PowerShell: отображение текста в правильной кодировке]

Иногда команда powershell Get-Content дает отображение русского кракозябрами. Причина в том, что текст не воспринимается в правильной кодировке. Пример вывода кракозябрами лог-файла в кодировке UTF8:

powershell Get-Content BitBangbinDebuglog.txt -Wait

Для правильного отображения текста используйте опцию -Encoding:

powershell Get-Content BitBangbinDebuglog.txt -Wait -Encoding UTF8

Тот же текст, отображаемый в правильной кодировке:

[Ссылки]

1. MinGW MinGW | Minimalist GNU for Windows site:mingw.org.
2. 141009tail-cygwin.zip.
3. Tail for Win32 site:tailforwin32.sourceforge.net.
4. 13 Ways to Tail a Log File on Windows & Linux site:stackify.com.
5. Windows Management Framework (Windows PowerShell 2.0, WinRM 2.0 и BITS 4.0) site:support.microsoft.com.
6. 180412tail-for-Windows.zip — русские обновления KB968930 для разных версий Windows, SnakeTail, Tail for Win32.

Любая диагностика или наблюдение за состоянием системы начинается с изучения логов. При этом бывают ситуации, когда логи хотелось бы видеть в режиме реального времени, что позволит лучше понять причинно-следственные связи и увидеть реакцию системы на выполняемые действия. То, о чем мы расскажем в данной заметке — известно многим, но, как показывает практика, многие начинающие не знают этих способов, поэтому не будет лишним в очередной раз обратиться к этой теме.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Linux

В Linux подавляющее большинство логов являются обычным текстом, что делает работу с ними возможной при помощи широкого спектра утилит. Одна из них — это tail (англ. хвост), по умолчанию она выводит 10 последних строк указанного текстового файла. А еще она умеет выводить на экран последние строки по мере их добавления. Это как раз то, что нам нужно. Допустим мы хотим видеть в реальном времени лог доступа к сайту:

tail -f /var/log/apache2/access.log

После чего вы сразу увидите на экране 10 последних строк лог-файла и все добавляемые позже в режиме реального времени.

Это удобно, теперь мы можем в одном окне выполнять какие-либо действия, а во втором сразу видеть реакцию на них.

Начинающим администраторам достаточно часто приходится обращаться за помощью к коллегам или на форумы и первое что от них попросят — это логи. Но взять и отправить файл лога целиком — это очень плохая идея, вряд ли кто-то захочет разбираться в чужих логах, да и вы тем самым покажете свое неуважение к тем, кто хотел бы вам помочь. Отправить случайный участок лога, в надежде что кто-то в нем разберется? Тоже нехорошо.

А тем временем сделать правильно очень просто. Достаточно использовать приведенную выше команду и направить ее вывод в файл:

tail -f /var/log/apache2/access.log > ~/my_log.log

На экране теперь строки лога появляться не будут, они будут записаны в файл my_log.log в домашней директории. После чего выполните с системой необходимые действия, результат которых должен попасть в лог, прервите действие команды по Ctrl+C и можете смело описывать проблему коллегам, не забыв приложить полученный файл.

Также вы можете использовать другие утилиты для обработки результатов вывода, допустим вам нужно убрать из лога сообщения, относящиеся к другим узлам сети и оставить только собственные. Так как в нашем логе фиксируется IP источника можно очень просто отфильтровать записи:

tail -f /var/log/apache2/access.log | grep 192.168.16.187 > ~/my_log.log

Здесь мы перенаправили выходной поток от tail на вход команды grep, которая выберет только те строки, в которых присутствует искомый адрес. Подобную конструкцию можно использовать и при интерактивном выводе на экран.

А если мы хотим одновременно видеть лог на экране и при этом записывать его в файл? Все просто, вместо перенаправления вывода передадим результат по конвейеру еще одной команде:

tail -f /var/log/apache2/access.log | grep 192.168.16.187 | tee ~/my_log.log

Здесь мы использовали команду tee (тройник), которая одновременно выводит переданный ей стандартный поток ввода на экран и записывает в указанный файл.

Windows

Системные логи Windows хранятся в Журналах событий, которые имеют специализированный формат и хранятся в файлах .evt и .evtx, которые просмотреть подобным образом не удастся, но логи многих системных служб и приложений используют простой текстовый формат, а следовательно дают возможность работать с ними интерактивно.

В качестве аналога команды tail используем один из командлетов PowerShell:

Get-Content C:OpenVPNlogopenvpn.log -Wait

Данная команда выведет на экран весь лог и продолжит отображать новые строки. Если лог большой, то это может быть неудобно, поэтому добавим в команду еще один параметр, в котором укажем какое количество последних строк мы хотим видеть, допустим пять:

Get-Content C:OpenVPNlogopenvpn.log -Wait -Tail 5

Точно также мы можем перенаправить вывод команды в файл:

Get-Content C:OpenVPNlogopenvpn.log -Wait -Tail 5 > S:my_log.log

Или выполнить отбор по интересующему нас вхождению используя возможности РowerShell, например отберем только события AUTH_FAILED, включив в отбор также последние сто строк лога:

Get-Content C:OpenVPNlogopenvpn.log -Wait -Tail 100 | where { $_ -match "AUTH_FAILED"}

Точно также, как и в Linux мы можем одновременно просматривать и записывать логи, для этого используем аналогичную команду Tee-Object:

Get-Content C:OpenVPNlogopenvpn.log -Wait -Tail 100 | where { $_ -match "AUTH_FAILED"} | Tee-Object -FilePath S:my_log.log

В данной заметке мы не претендовали на всестороннее освещение затронутой темы, а всего лишь хотели напомнить о существовании удобных инструментов для интерактивной работы с текстовыми логами. Надеемся данный материал окажется вам полезен.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Если служба или приложение Windows пишет логи не в Event Viewer (.evt и .evtx файлы), а в текстовые лог-файлы, вам иногда необходимо выводить и отслеживать новые события в реальном времени.

В Linux, например, для вывода содержимого логов в реальном времени используется команда tail -f /var/log/syslog. Команда выводит на экран терминала любые новые записи, которые добавляются в этот файл.

В качестве аналога команды tail в Windows можно использовать командлет Get-Content.

Следующая команда выведет содержимое всего текстового лог-файла и будет выводить новые строки:

Get-Content "C:Usersuser1AppDataLocalTempMicrosoftEdgeUpdate.log" -Wait

Если файл лога большой, и вы не хотите выводить его целиком на экран, можно вывести только последние 10 строк:

Get-Content "C:Usersuser1AppDataLocalTempMicrosoftEdgeUpdate.log" -Wait -Tail 10

Можно перенаправить вывод команды в файл:

Get-Content C:MicrosoftEdgeUpdate.log -Wait -Tail 5 > C:PSnew_edgeupdate.log

Если вам нужно выводить на экран только строки, которые содержат ключевое слово (например, ERROR):

Get-Content C:MicrosoftEdgeUpdate.log -Wait -Tail 100 | where { $_ -match "ERROR"}

Можно одновременно выводить логи на экран и записывать полученные строки в новый файл:

Get-Content C:MicrosoftEdgeUpdate.log -Wait -Tail 100 | where { $_ -match "FAILED"} | Tee-Object -FilePath C:PSnew_edgeupdate.log

Пора поговорить про удобную работу с логами, тем более что в Windows есть масса неочевидных инструментов для этого. Например, Log Parser, который порой просто незаменим.

В статье не будет про серьезные вещи вроде Splunk и ELK (Elasticsearch + Logstash + Kibana). Сфокусируемся на простом и бесплатном.

Журналы и командная строка

До появления PowerShell можно было использовать такие утилиты cmd как find и findstr. Они вполне подходят для простой автоматизации. Например, когда мне понадобилось отлавливать ошибки в обмене 1С 7.7 я использовал в скриптах обмена простую команду:

findstr "Fail" *.log >> fail.txt

Она позволяла получить в файле fail.txt все ошибки обмена. Но если было нужно что-то большее, вроде получения информации о предшествующей ошибке, то приходилось создавать монструозные скрипты с циклами for или использовать сторонние утилиты. По счастью, с появлением PowerShell эти проблемы ушли в прошлое.

Основным инструментом для работы с текстовыми журналами является командлет Get-Content, предназначенный для отображения содержимого текстового файла. Например, для вывода журнала сервиса WSUS в консоль можно использовать команду:

Get-Content -Path 'C:Program FilesUpdate ServicesLogFilesSoftwareDistribution.log' | Out-Host -Paging

Для вывода последних строк журнала существует параметр Tail, который в паре с параметром Wait позволит смотреть за журналом в режиме онлайн. Посмотрим, как идет обновление системы командой:

>Get-Content -Path "C:WindowsWindowsUpdate.log" -Tail 5 -Wait

Смотрим за ходом обновления Windows.

Если же нам нужно отловить в журналах определенные события, то поможет командлет Select-String, который позволяет отобразить только строки, подходящие под маску поиска. Посмотрим на последние блокировки Windows Firewall:

Select-String -Path "C:WindowsSystem32LogFilesFirewallpfirewall.log" -Pattern 'Drop' | Select-Object -Last 20 | Format-Table Line

Смотрим, кто пытается пролезть на наш дедик.

При необходимости посмотреть в журнале строки перед и после нужной, можно использовать параметр Context. Например, для вывода трех строк после и трех строк перед ошибкой можно использовать команду:

Select-String 'C:WindowsClusterReportsCluster.log' -Pattern ' err ' ‑Context 3

Оба полезных командлета можно объединить. Например, для вывода строк с 45 по 75 из netlogon.log поможет команда:

Get-Content 'C:Windowsdebugnetlogon.log' | Select-Object -First 30 -Skip 45

Журналы системы ведутся в формате .evtx, и для работы с ними существуют отдельные командлеты. Для работы с классическими журналами («Приложение», «Система», и т.д.) используется Get-Eventlog. Этот командлет удобен, но не позволяет работать с остальными журналами приложений и служб. Для работы с любыми журналами, включая классические, существует более универсальный вариант ― Get-WinEvent. Остановимся на нем подробнее.

Для получения списка доступных системных журналов можно выполнить следующую команду:

Get-WinEvent -ListLog *

Вывод доступных журналов и информации о них.

Для просмотра какого-то конкретного журнала нужно лишь добавить его имя. Для примера получим последние 20 записей из журнала System командой:

Get-WinEvent -LogName 'System' -MaxEvents 20

Последние записи в журнале System.

Для получения определенных событий удобнее всего использовать хэш-таблицы. Подробнее о работе с хэш-таблицами в PowerShell можно прочитать в материале Technet about_Hash_Tables.

Для примера получим все события из журнала System с кодом события 1 и 6013.

Get-WinEvent -FilterHashTable @{LogName='System';ID='1','6013'}

В случае если надо получить события определенного типа ― предупреждения или ошибки, ― нужно использовать фильтр по важности (Level). Возможны следующие значения:

• 0 ― всегда записывать;
• 1 ― критический;
• 2 ― ошибка;
• 3 ― предупреждение;
• 4 ― информация;
• 5 ― подробный (Verbose).

Собрать хэш-таблицу с несколькими значениями важности одной командой так просто не получится. Если мы хотим получить ошибки и предупреждения из системного журнала, можно воспользоваться дополнительной фильтрацией при помощи Where-Object:

Get-WinEvent -FilterHashtable @{LogName='system'} | Where-Object -FilterScript {($_.Level -eq 2) -or ($_.Level -eq 3)}

Ошибки и предупреждения журнала System.

Аналогичным образом можно собирать таблицу, фильтруя непосредственно по тексту события и по времени.

Подробнее почитать про работу обоих командлетов для работы с системными журналами можно в документации PowerShell:

• Get-EventLog.
• Get-WinEvent.

PowerShell ― механизм удобный и гибкий, но требует знания синтаксиса и для сложных условий и обработки большого количества файлов потребует написания полноценных скриптов. Но есть вариант обойтись всего-лишь SQL-запросами при помощи замечательного Log Parser.

Работаем с журналами посредством запросов SQL

Утилита Log Parser появилась на свет в начале «нулевых» и с тех пор успела обзавестись официальной графической оболочкой. Тем не менее актуальности своей она не потеряла и до сих пор остается для меня одним из самых любимых инструментов для анализа логов. Загрузить утилиту можно в Центре Загрузок Microsoft, графический интерфейс к ней ― в галерее Technet. О графическом интерфейсе чуть позже, начнем с самой утилиты.

О возможностях Log Parser уже рассказывалось в материале «LogParser — привычный взгляд на непривычные вещи», поэтому я начну с конкретных примеров.

Для начала разберемся с текстовыми файлами ― например, получим список подключений по RDP, заблокированных нашим фаерволом. Для получения такой информации вполне подойдет следующий SQL-запрос:

SELECT 
 extract_token(text, 0, ' ') as date, 
 extract_token(text, 1, ' ') as time,
 extract_token(text, 2, ' ') as action, 
 extract_token(text, 4, ' ') as src-ip,  
 extract_token(text, 7, ' ') as port 
FROM 'C:WindowsSystem32LogFilesFirewallpfirewall.log' 
WHERE action='DROP' AND port='3389'
ORDER BY date,time DESC

Посмотрим на результат:

Смотрим журнал Windows Firewall.

Разумеется, с полученной таблицей можно делать все что угодно ― сортировать, группировать. Насколько хватит фантазии и знания SQL.

Log Parser также прекрасно работает с множеством других источников. Например, посмотрим откуда пользователи подключались к нашему серверу по RDP.

Работать будем с журналом TerminalServices-LocalSessionManagerOperational.

Не со всеми журналами Log Parser работает просто так ― к некоторым он не может получить доступ. В нашем случае просто скопируем журнал из %SystemRoot%System32WinevtLogsMicrosoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx в %temp%test.evtx.

Данные будем получать таким запросом:

SELECT
 timegenerated as Date, 
 extract_token(strings, 0, '|') as user,
 extract_token(strings, 2, '|') as sourceip 
FROM '%temp%test.evtx'
WHERE EventID = 21
ORDER BY Date DESC

Смотрим, кто и когда подключался к нашему серверу терминалов.

Особенно удобно использовать Log Parser для работы с большим количеством файлов журналов ― например, в IIS или Exchange. Благодаря возможностям SQL можно получать самую разную аналитическую информацию, вплоть до статистики версий IOS и Android, которые подключаются к вашему серверу.

В качестве примера посмотрим статистику количества писем по дням таким запросом:

SELECT
 TO_LOCALTIME(TO_TIMESTAMP(EXTRACT_PREFIX(TO_STRING([#Fields: date-time]),0,'T'), 'yyyy-MM-dd')) AS Date,
 COUNT(*) AS [Daily Email Traffic] 
FROM 'C:Program FilesMicrosoftExchange ServerV15TransportRolesLogsMessageTracking*.LOG'
WHERE (event-id='RECEIVE') GROUP BY Date ORDER BY Date ASC

Если в системе установлены Office Web Components, загрузить которые можно в Центре загрузки Microsoft, то на выходе можно получить красивую диаграмму.

Выполняем запрос и открываем получившуюся картинку…

Любуемся результатом.

Следует отметить, что после установки Log Parser в системе регистрируется COM-компонент MSUtil.LogQuery. Он позволяет делать запросы к движку утилиты не только через вызов LogParser.exe, но и при помощи любого другого привычного языка. В качестве примера приведу простой скрипт PowerShell, который выведет 20 наиболее объемных файлов на диске С.

$LogQuery = New-Object -ComObject "MSUtil.LogQuery"
$InputFormat = New-Object -ComObject "MSUtil.LogQuery.FileSystemInputFormat"
$InputFormat.Recurse = -1
$OutputFormat = New-Object -ComObject "MSUtil.LogQuery.CSVOutputFormat"
$SQLQuery = "SELECT Top 20 Path, Size INTO '%temp%output.csv' FROM 'C:*.*' ORDER BY Size DESC"
$LogQuery.ExecuteBatch($SQLQuery, $InputFormat, $OutputFormat)
$CSV = Import-Csv  $env:TEMP'output.csv'
$CSV | fl 
Remove-Item $env:TEMP'output.csv'
$LogQuery=$null
$InputFormat=$null
$OutputFormat=$null

Ознакомиться с документацией о работе компонента можно в материале Log Parser COM API Overview на портале SystemManager.ru.

Благодаря этой возможности для облегчения работы существует несколько утилит, представляющих из себя графическую оболочку для Log Parser. Платные рассматривать не буду, а вот бесплатную Log Parser Studio покажу.

Интерфейс Log Parser Studio.

Основной особенностью здесь является библиотека, которая позволяет держать все запросы в одном месте, без россыпи по папкам. Также сходу представлено множество готовых примеров, которые помогут разобраться с запросами.

Вторая особенность ― возможность экспорта запроса в скрипт PowerShell.

В качестве примера посмотрим, как будет работать выборка ящиков, отправляющих больше всего писем:

Выборка наиболее активных ящиков.

При этом можно выбрать куда больше типов журналов. Например, в «чистом» Log Parser существуют ограничения по типам входных данных, и отдельного типа для Exchange нет ― нужно самостоятельно вводить описания полей и пропуск заголовков. В Log Parser Studio нужные форматы уже готовы к использованию.

Помимо Log Parser, с логами можно работать и при помощи возможностей MS Excel, которые упоминались в материале «Excel вместо PowerShell». Но максимального удобства можно достичь, подготавливая первичный материал при помощи Log Parser с последующей обработкой его через Power Query в Excel.

Приходилось ли вам использовать какие-либо инструменты для перелопачивания логов? Поделитесь в комментариях.

Troubleshooting and prevention are the two important tasks that the Event Log analyzer helps you perform and are essential to keep your network and business up and running.

The event log data is a critical aspect of troubleshooting any issue within your network or system.

While you can use Windows Event Viewer, dedicated log analyzer tools are an excellent alternative offering better visualization and GUI experience.

What is an event log analysis?

Event log analysis is the process of analyzing logs to diagnose problems and disruptions and to find the source of the problem.

Specialized log monitoring tools allow you to diagnose with a more detailed analysis and a comprehensive overview.

In this article, we take a look at the best event log analysis tools that provide more visibility into logs for network administrators.

ManageEngine EventLog Analyzer – Best tool for event analyzing

ManageEngine EventLog Analyzer allows you to understand what’s happening in your network and gain insights into potential security risks and prevent them before they happen by analyzing your logs.

Real-time event log correlation allows you to instantly detect attack attempts and trace potential security threats. It can audit log data from perimeter devices, including routers, switches, and provide valuable insights.

ManageEngine EventLog Analyzer also comes with in-depth auditing capabilities, augmented threat intelligence, comprehensive log management, and high-speed log processing capabilities to offer an all-in-one log management solution. Thus, we regarded it as one of the best free Windows event log analyzer tools.

Key features of ManageEngine EventLog Analyzer:

• Detect attacks attempts and log data from multiple devices 
• Integrated compliance management 
• Augments threat intelligence 
• Comprehensive log management, including analysis 

ManageEngine EventLog Analyzer

Keep an eye on all key events on your network and secure it with a tool that offers augmented threat intelligence.

Log360 – Great tool for event reporting

If you need more than an event analyzer tool, Log360 is also a great threat detection solution that will provide security solutions for your business.

The tool analyzes events from all network devices, file servers, databases, web servers, Microsoft 365, Exchange servers, and Active Directory allowing you to manage any incidents quickly.

Moreover, Log360 will even monitor widely-used public cloud platforms, like Amazon Web Services (AWS), Microsoft Azure, Salesforce, and more. Moreover, this event log analyzer works in Windows 10 as well as 11.

According to your specific needs, you will be able to customize the alert profiles and get extensive reports that will trigger a fast reaction from your IT management team.

The tool relies on a global IP threat database and the built-in STIX/TAXII threat feed processor to identify external threats instantly.

Log360 is not limited to breach detection but also focuses on file integrity, spotting any critical changes made to confidential files and folders within your devices.

And being a professional solution, it even integrates with ServiceDesk Plus, Jira Service Desk, Kayako, and more ticketing tools.

Take a look at some of its best features:

• Analyzes logs from any network devices, including file servers and databases
• Customizable alerts and profiles
• File integrity monitoring
• Ticketing tools integration
• Monitors cloud platforms like AWS and Microsoft Azure

Log360

Secure all the devices on your network and analyze all logs with this complete suite of professional tools.

PRTG Network Monitor – Great tool for network monitoring

PRTG Network Monitor is an all-in-one network monitoring solution that analyzes your entire network and alerts you in case of an event.

For network analysis, it uses the Windows Event Log Sensors to let you monitor Windows log files.

With the PRTG Network Monitor, you can keep an eye on all the most important logs. It can also monitor servers, bandwidth, and applications. All the data is presented in a visual format on a centralized dashboard. 

Network admins can configure alarms to send alerts only if a certain situation arises. The personalized dashboard displays all your monitoring data on a dashboard.

Key features of PRTG Network Monitor:

• Centralized tool to monitor network, servers, bandwidth, and applications
• Customizable alarm with filter criteria for log sensors 
• Personalized dashboard for reading monitoring data 
• Multiple log sensors compatible with Windows Event logger

PRTG Network Monitor

Keep a close eye on your network and analyze event logs with PRTG Network Monitor software.

InsightOps – Ideal tool for infrastructure monitoring

InsightOps, previously known as Logentries, is an event log analyzer tool that combines log management with infrastructure monitoring.

You can easily consolidate logs in real time from your IT infrastructure on a centralized console.

With InsightOps, you can analyze live logs and performance metrics with real-time alerts, track software usage, and audio user logins, identify network misconfiguration, and more.

Key features of InsightOps:

• Centralized data collection from any source in multiple formats 
• Monitor metrics like CPU, memory, disk usage in real-time
• Quickly identify and resolve errors 
• Helps maintain compliance standard 

⇒ Get InsightOps

LOGalyze – Great for log centralized management

LOGalyze is an open-source event log analyzer, centralized on log management, and network monitoring software. It can handle all your log data from Linux servers, network devices, and Windows hosts in one place.

LOGalyze can identify the collected logs, and classify them by source host, severity, type, and splits them into fields and stores for efficient analysis.

Key features of LOGalyze:

• Collects event logs from multiple sources 
• Offers multi-dimensional statistics 
• Predefined compliance reports and custom reports
• Collects event logs from distributed Windows hosts
• Automated classification for efficient analysis 

⇒ Get LOGalyze

Splunk – Perfect tool for event viewing

Splunk is a known name in the world of log management. Its log analysis software can collect, index, and visualize reports generated from Windows, Linux, and other machines in any format.

Some PC issues are hard to tackle, especially when it comes to corrupted repositories or missing Windows files. If you are having troubles fixing an error, your system may be partially broken.
We recommend installing Restoro, a tool that will scan your machine and identify what the fault is.
Click here to download and start repairing.

Splunk log analysis software applies structure and scheme only at search time.

It also gives the option to zoom in and out of timelines and uses proprietary Splunk Search Processing Language for search queries.

Key features of Splunk:

• Collects and indexes data from multiple sources 
• 140+ commands to perform searches, calculate metrics, and more
• Utilizes Splunk Search Processing Language for search 

⇒ Get Splunk

Sematext Logs – Great integration features

Sematext Logs Logsene is a security and scalable monitoring and logging service.

It offers a fast, powerful search with over 75+ integration for third-party apps such as PagerDuty, HipChat, BigPanda, and more.

Sematext Logs allows you to ship data with your favorite log shipper, offers centralized logging to store logs from any data source, and customizes alerts for troubleshooting.

Key features of Sematext Logs:

• Multi-user access control for administrator 
• 75+ built-in third-party apps integration 
• Hosted ELK as a service with centralized logging 
• Customized alerts on logs 

⇒ Get Sematext Logs

Site24x7 Log Management – Perfect for massive volumes of data

Site24x7 Log Management allows you to manage massive volumes of log data with threshold-based alerting via email, SMS, and voice calls.

This easy-to-use web client helps you derive quick and actionable insights from the logs.

Agile log monitoring with visual aids allows you to troubleshoot faster with keyword-based searches and visual aids like the graph.

It can recognize common application logs, including Apache, NGIN, Log4Net, NLog, and more out of the box.

Key features of Site24x7 Log Management:

• Agile log monitoring with visual aids 
• Support for common application logs
• Log management from different cloud service providers
• Customized alerts 

⇒ Get Site24x7 Log Management

Netwrix Event Log Manager – Ideal for collecting Windows event logs

Netwrix Event Log Manager is a freeware tool that collects Windows server event logs from systems across your network and alerts on critical events in real-time.

It compresses collected logs and achieves them in a file system for further analysis.

Netwrix Event Log Manager Eliminates the need to sift through separate logs from multiple Windows servers in your network.

Key features of Netwrix Event Log Manager:

• Offers all event log data in a single view
• Be notified about critical events 
• Keep event logs stored for further analysis 

⇒ Get Netwrix Event Log Manager

LogRhythm – Great for SIEM management

LogRhythm is a cloud-based SIEM platform that allows you to manage SEIM infrastructure, administration, upgrades, or troubleshooting capacity issues. 

LogRhythm offers high-performance search analytics, integrated threat and business context, IOC-and TTP-based scenarios analytics, pervasive forensic visibility, and comprehensive compliance automation.

Key features of LogRhythm:

• High-performance search analytics 
• Layered security operations metrics 
• Machine Assisted threat hunting 

⇒ Get LogRhythm

DataDog – Very easy to use

DataDog is a log management solution that unifies logs, metrics, and traces in a single view offering a rich context for analyzing log data.

Insights offered by the tool can be used to troubleshoot issues, optimize performance or investigate security threats. 

Some of the notable features offered by DataDog include search, filter, and the ability to analyze logs on the go, build consistent, structured databases from your raw log data, and the ability to generate metrics from all logs.

Key features of DataDog:

• Seamless dashboard navigation for faster troubleshooting 
• Ingest, Live Tail, and archive everything 
• Support for 170+ common technologies 

⇒ Get DataDog 

Read more about this topic

• How to Fix The Network Security Key Isn’t Correct on Windows
• WiFi Shows No Internet But Internet Works: 11 Easy Solutions
• This WiFi Uses An Older Security Standard: Quick Fixes

A dedicated event log analyzer can offer more insights than the Windows Event Viewer. You can analyze the log files to monitor network infrastructure and security threats. 

Explore the log management tools listed in this article to efficiently manage Windows event log data to optimize and troubleshoot your IT infrastructure.

You might want to look at our list including the best PC audit tools for your devices because it might also help you keep the network safe.

Have you tried any of the tools above? Tell us about your experience in the comments section below.

Troubleshooting and prevention are the two important tasks that the Event Log analyzer helps you perform and are essential to keep your network and business up and running.

The event log data is a critical aspect of troubleshooting any issue within your network or system.

While you can use Windows Event Viewer, dedicated log analyzer tools are an excellent alternative offering better visualization and GUI experience.

What is an event log analysis?

Event log analysis is the process of analyzing logs to diagnose problems and disruptions and to find the source of the problem.

Specialized log monitoring tools allow you to diagnose with a more detailed analysis and a comprehensive overview.

In this article, we take a look at the best event log analysis tools that provide more visibility into logs for network administrators.

ManageEngine EventLog Analyzer – Best tool for event analyzing

ManageEngine EventLog Analyzer allows you to understand what’s happening in your network and gain insights into potential security risks and prevent them before they happen by analyzing your logs.

Real-time event log correlation allows you to instantly detect attack attempts and trace potential security threats. It can audit log data from perimeter devices, including routers, switches, and provide valuable insights.

ManageEngine EventLog Analyzer also comes with in-depth auditing capabilities, augmented threat intelligence, comprehensive log management, and high-speed log processing capabilities to offer an all-in-one log management solution. Thus, we regarded it as one of the best free Windows event log analyzer tools.

Key features of ManageEngine EventLog Analyzer:

• Detect attacks attempts and log data from multiple devices 
• Integrated compliance management 
• Augments threat intelligence 
• Comprehensive log management, including analysis 

ManageEngine EventLog Analyzer

Keep an eye on all key events on your network and secure it with a tool that offers augmented threat intelligence.

Log360 – Great tool for event reporting

If you need more than an event analyzer tool, Log360 is also a great threat detection solution that will provide security solutions for your business.

The tool analyzes events from all network devices, file servers, databases, web servers, Microsoft 365, Exchange servers, and Active Directory allowing you to manage any incidents quickly.

Moreover, Log360 will even monitor widely-used public cloud platforms, like Amazon Web Services (AWS), Microsoft Azure, Salesforce, and more. Moreover, this event log analyzer works in Windows 10 as well as 11.

According to your specific needs, you will be able to customize the alert profiles and get extensive reports that will trigger a fast reaction from your IT management team.

The tool relies on a global IP threat database and the built-in STIX/TAXII threat feed processor to identify external threats instantly.

Log360 is not limited to breach detection but also focuses on file integrity, spotting any critical changes made to confidential files and folders within your devices.

And being a professional solution, it even integrates with ServiceDesk Plus, Jira Service Desk, Kayako, and more ticketing tools.

Take a look at some of its best features:

• Analyzes logs from any network devices, including file servers and databases
• Customizable alerts and profiles
• File integrity monitoring
• Ticketing tools integration
• Monitors cloud platforms like AWS and Microsoft Azure

Log360

Secure all the devices on your network and analyze all logs with this complete suite of professional tools.

PRTG Network Monitor – Great tool for network monitoring

PRTG Network Monitor is an all-in-one network monitoring solution that analyzes your entire network and alerts you in case of an event.

For network analysis, it uses the Windows Event Log Sensors to let you monitor Windows log files.

With the PRTG Network Monitor, you can keep an eye on all the most important logs. It can also monitor servers, bandwidth, and applications. All the data is presented in a visual format on a centralized dashboard. 

Network admins can configure alarms to send alerts only if a certain situation arises. The personalized dashboard displays all your monitoring data on a dashboard.

Key features of PRTG Network Monitor:

• Centralized tool to monitor network, servers, bandwidth, and applications
• Customizable alarm with filter criteria for log sensors 
• Personalized dashboard for reading monitoring data 
• Multiple log sensors compatible with Windows Event logger

PRTG Network Monitor

Keep a close eye on your network and analyze event logs with PRTG Network Monitor software.

InsightOps – Ideal tool for infrastructure monitoring

InsightOps, previously known as Logentries, is an event log analyzer tool that combines log management with infrastructure monitoring.

You can easily consolidate logs in real time from your IT infrastructure on a centralized console.

With InsightOps, you can analyze live logs and performance metrics with real-time alerts, track software usage, and audio user logins, identify network misconfiguration, and more.

Key features of InsightOps:

• Centralized data collection from any source in multiple formats 
• Monitor metrics like CPU, memory, disk usage in real-time
• Quickly identify and resolve errors 
• Helps maintain compliance standard 

⇒ Get InsightOps

LOGalyze – Great for log centralized management

LOGalyze is an open-source event log analyzer, centralized on log management, and network monitoring software. It can handle all your log data from Linux servers, network devices, and Windows hosts in one place.

LOGalyze can identify the collected logs, and classify them by source host, severity, type, and splits them into fields and stores for efficient analysis.

Key features of LOGalyze:

• Collects event logs from multiple sources 
• Offers multi-dimensional statistics 
• Predefined compliance reports and custom reports
• Collects event logs from distributed Windows hosts
• Automated classification for efficient analysis 

⇒ Get LOGalyze

Splunk – Perfect tool for event viewing

Splunk is a known name in the world of log management. Its log analysis software can collect, index, and visualize reports generated from Windows, Linux, and other machines in any format.

Some PC issues are hard to tackle, especially when it comes to corrupted repositories or missing Windows files. If you are having troubles fixing an error, your system may be partially broken.
We recommend installing Restoro, a tool that will scan your machine and identify what the fault is.
Click here to download and start repairing.

Splunk log analysis software applies structure and scheme only at search time.

It also gives the option to zoom in and out of timelines and uses proprietary Splunk Search Processing Language for search queries.

Key features of Splunk:

• Collects and indexes data from multiple sources 
• 140+ commands to perform searches, calculate metrics, and more
• Utilizes Splunk Search Processing Language for search 

⇒ Get Splunk

Sematext Logs – Great integration features

Sematext Logs Logsene is a security and scalable monitoring and logging service.

It offers a fast, powerful search with over 75+ integration for third-party apps such as PagerDuty, HipChat, BigPanda, and more.

Sematext Logs allows you to ship data with your favorite log shipper, offers centralized logging to store logs from any data source, and customizes alerts for troubleshooting.

Key features of Sematext Logs:

• Multi-user access control for administrator 
• 75+ built-in third-party apps integration 
• Hosted ELK as a service with centralized logging 
• Customized alerts on logs 

⇒ Get Sematext Logs

Site24x7 Log Management – Perfect for massive volumes of data

Site24x7 Log Management allows you to manage massive volumes of log data with threshold-based alerting via email, SMS, and voice calls.

This easy-to-use web client helps you derive quick and actionable insights from the logs.

Agile log monitoring with visual aids allows you to troubleshoot faster with keyword-based searches and visual aids like the graph.

It can recognize common application logs, including Apache, NGIN, Log4Net, NLog, and more out of the box.

Key features of Site24x7 Log Management:

• Agile log monitoring with visual aids 
• Support for common application logs
• Log management from different cloud service providers
• Customized alerts 

⇒ Get Site24x7 Log Management

Netwrix Event Log Manager – Ideal for collecting Windows event logs

Netwrix Event Log Manager is a freeware tool that collects Windows server event logs from systems across your network and alerts on critical events in real-time.

It compresses collected logs and achieves them in a file system for further analysis.

Netwrix Event Log Manager Eliminates the need to sift through separate logs from multiple Windows servers in your network.

Key features of Netwrix Event Log Manager:

• Offers all event log data in a single view
• Be notified about critical events 
• Keep event logs stored for further analysis 

⇒ Get Netwrix Event Log Manager

LogRhythm – Great for SIEM management

LogRhythm is a cloud-based SIEM platform that allows you to manage SEIM infrastructure, administration, upgrades, or troubleshooting capacity issues. 

LogRhythm offers high-performance search analytics, integrated threat and business context, IOC-and TTP-based scenarios analytics, pervasive forensic visibility, and comprehensive compliance automation.

Key features of LogRhythm:

• High-performance search analytics 
• Layered security operations metrics 
• Machine Assisted threat hunting 

⇒ Get LogRhythm

DataDog – Very easy to use

DataDog is a log management solution that unifies logs, metrics, and traces in a single view offering a rich context for analyzing log data.

Insights offered by the tool can be used to troubleshoot issues, optimize performance or investigate security threats. 

Some of the notable features offered by DataDog include search, filter, and the ability to analyze logs on the go, build consistent, structured databases from your raw log data, and the ability to generate metrics from all logs.

Key features of DataDog:

• Seamless dashboard navigation for faster troubleshooting 
• Ingest, Live Tail, and archive everything 
• Support for 170+ common technologies 

⇒ Get DataDog 

Read more about this topic

• How to Fix The Network Security Key Isn’t Correct on Windows
• WiFi Shows No Internet But Internet Works: 11 Easy Solutions
• This WiFi Uses An Older Security Standard: Quick Fixes

A dedicated event log analyzer can offer more insights than the Windows Event Viewer. You can analyze the log files to monitor network infrastructure and security threats. 

Explore the log management tools listed in this article to efficiently manage Windows event log data to optimize and troubleshoot your IT infrastructure.

You might want to look at our list including the best PC audit tools for your devices because it might also help you keep the network safe.

Have you tried any of the tools above? Tell us about your experience in the comments section below.

Обновлено 23.03.2022

Всем привет, тема стать как посмотреть логи windows. Что такое логи думаю знают все, но если вдруг вы новичок, то логи это системные события происходящие в операционной системе как Windows так и Linux, которые помогают отследить, что, где и когда происходило и кто это сделал. Любой системный администратор обязан уметь читать логи windows.

Примером из жизни может служить ситуация когда на одном из серверов IBM, выходил из строя диск и для технической поддержки я собирал логи сервера, для того чтобы они могли диагностировать проблему. За собирание и фиксирование логов в Windows отвечает служба Просмотр событий. Просмотр событий это удобная оснастка для получения логов системы.

Как открыть в просмотр событий

Зайти в оснастку Просмотр событий можно очень просто, подойдет для любой версии Windows. Нажимаете волшебные кнопки

Откроется у вас окно просмотр событий windows в котором вам нужно развернуть пункт Журналы Windows. Пробежимся по каждому из журналов.

Журнал Приложение, содержит записи связанные с программами на вашем компьютере. В журнал пишется когда программа была запущена, если запускалась с ошибкоу, то тут это тоже будет отражено.

Журнал аудит, нужен для понимания кто и когда что сделал. Например вошел в систему или вышел, попытался получить доступ. Все аудиты успеха или отказа пишутся сюда.

Пункт Установка, в него записывает Windows логи о том что и когда устанавливалось Например программы или обновления.

Самый важный журнал Это система. Сюда записывается все самое нужное и важное. Например у вас был синий экран bsod, и данные сообщения что тут заносятся помогут вам определить его причину.

Так же есть логи windows для более специфических служб, например DHCP или DNS. Просмотр событий сечет все :).

Фильтрация в просмотре событий

Предположим у вас в журнале Безопасность более миллиона событий, наверняка вы сразу зададите вопрос есть ли фильтрация, так как просматривать все из них это мазохизм. В просмотре событий это предусмотрели, логи windows можно удобно отсеять оставив только нужное. Справа в области Действия есть кнопка Фильтр текущего журнала.

Вас попросят указать уровень событий:

• Критическое
• Ошибка
• Предупреждение
• Сведения
• Подробности

Все зависит от задачи поиска, если вы ищите ошибки, то смысла в других типах сообщение нету.  Далее можете для того чтобы сузить границы поиска просмотра событий укзать нужный источник событий  и код.

Так что как видите разобрать логи windows очень просто, ищем, находим, решаем. Так же может быть полезным быстрая очистка логов windows:

• Как очистить просмотр событий с помощью PowerShell
• Как почистить все журналы windows с помощью скрипта

Посмотреть логи windows PowerShell

Было бы странно если бы PowerShell не умел этого делать, для отображения log файлов открываем PowerShell и вводим вот такую команду

В итоге вы получите список логов журнала Система

Тоже самое можно делать и для других журналов например Приложения

небольшой список абревиатур

• Код события — EventID
• Компьютер — MachineName
• Порядковый номер события — Data, Index
• Категория задач — Category
• Код категории — CategoryNumber
• Уровень — EntryType
• Сообщение события — Message
• Источник — Source
• Дата генерации события — ReplacementString, InstanceID, TimeGenerated
• Дата записи события — TimeWritten
• Пользователь — UserName
• Сайт — Site
• Подразделение — Conteiner

Например, для того чтобы в командной оболочке вывести события только со столбцами «Уровень», «Дата записи события», «Источник», «Код события», «Категория» и «Сообщение события» для журнала «Система», выполним команду:

Если нужно вывести более подробно, то заменим Format-Table на Format-List

Как видите формат уже более читабельный.

Так же можно пофильтровать журналы например показать последние 20 сообщений

Или выдать список сообщение позднее  1 ноября 2014

Дополнительные продукты

Так же вы можете автоматизировать сбор событий, через такие инструменты как:

• Комплекс мониторинга Zabbix
• Через пересылку событий средствами Windows на сервер коллектор
• Через комплекс аудита Netwrix
• Если у вас есть SCOM, то он может агрегировать любые логи Windows платформ
• Любые DLP системы

Так что вам выбирать будь то просмотр событий или PowerShell для просмотра событий windows, это уже ваше дело. Материал сайта pyatilistnik.org



Удаленный просмотр логов

• Первый метод

Не так давно в появившейся операционной системе Windows Server 2019, появился компонент удаленного администрирования Windows Admin Center. Он позволяет проводить дистанционное управление компьютером или сервером, подробнее он нем я уже рассказывал. Тут я хочу показать, что поставив его себе на рабочую станцию вы можете подключаться из браузера к другим компьютерам и легко просматривать их журналы событий, тем самым изучая логи Windows. В моем примере будет сервер SVT2019S01, находим его в списке доступных и подключаемся (Напомню мы так производили удаленную настройку сети в Windows).

Далее вы выбираете вкладку «События», выбираете нужный журнал, в моем примере я хочу посмотреть все логи по системе. С моей точки зрения тут все просматривать куда удобнее, чем из просмотра событий. Плюсом будет, то что вы это можете сделать из любого телефона или планшета. В правом углу есть удобная форма поиска

Если нужно произвести более тонкую фильтрацию логов, то вы можете воспользоваться кнопкой фильтра.

Тут вы так же можете выбрать уровень события, например оставив только критические и ошибки, задать временной диапазон, код событий и источник.

Вот пример фильтрации по событию 19.

Очень удобно экспортировать полностью журнал в формат evxt, который потом легко открыть через журнал событий. Так, что Windows Admin Center, это мощное средство по просмотру логов.

• Второй метод

Второй способ удаленного просмотров логов Windows, это использование оснастки управление компьютером или все той же «Просмотр событий». Чтобы посмотреть логи Windows на другом компьютере или сервере, в оснастке щелкните по верхнему пункту правым кликом и выберите из контекстного меню «Подключиться к другому компьютеру«.

Указываем имя другого компьютера, в моем примере это будет SVT2019S01

Если все хорошо и нет блокировок со стороны брандмауэра или антивируса, то вы попадете в удаленный просмотр событий .если будут блокировки, то получите сообщение по типу, что не пролетает трафик COM+.

Так же хочу отметить, что есть целые системы агрегации логов, такие как Zabbix или SCOM, но это уже другой уровень задач. На этом у меня все, с вами был Иван Семин, автор и создатель IT портала Pyatilistnik.org.

Журнал событий Windows (Event Log) — это важный инструмент, который позволяет администратору отслеживать ошибки, предупреждения и другие информационные сообщения, которые регистрируются операционной системой, ее компонентами и различными программами. Для просмотра журнала событий Windows можно использовать графическую MMC оснастку Event Viewer (
eventvwr.msc
). В некоторых случаях для поиска информации в журналах событий и их анализа гораздо удобнее использовать PowerShell. В этой статье мы покажем, как получать информацию из журналов событий Windows с помощью командлета Get-WinEvent.

На данный момент в Windows доступны два командлета для доступа к событиям в Event Log: Get-EventLog и Get-WinEvent. В подавляющем большинстве случаев рекомендуем использовать именно Get-WinEvent, т.к. он более производителен, особенно в сценариях обработки большого количества событий с удаленных компьютеров. Командлет Get-EventLog является устаревшим и использовался для получения логов в более ранних версиях Windows. Кроме того, Get-EventLog не поддерживается в современных версиях PowerShell Core 7.x.

Получение логов Windows с помощью Get-WinEvent

Для использования команды Get-WinEvent нужно запустить PowerShell с правами администратора (при запуске Get-WinEvent от имени пользователя вы не сможете получить доступ к некоторым логам, например, к Security).

Для получения списка событий из определенного журнала, нужно указать его имя. В данном примере мы выведем последние 20 событий из журнала System:

Get-WinEvent -LogName Application -MaxEvents 20

Можно выбрать события сразу из нескольких журналов. Например, чтобы получить информацию о ошибках и предупреждениях из журналов System и Application за последние 24 часа (сутки), можно использовать такой код:

$StartDate = (Get-Date) - (New-TimeSpan -Day 1)
Get-WinEvent Application,System | Where-Object {($_.LevelDisplayName -eq "Error" -or $_.LevelDisplayName -eq "Warning") -and ($_.TimeCreated -ge $StartDate )}

Чтобы вывести только определенные поля событий, можно использовать Select-Object или Format-Table:

Get-WinEvent -LogName System | Format-Table Machinename, TimeCreated, Id, UserID

Можно выполнить дополнительные преобразования с полученными данными. Например, в этом примере мы сразу преобразуем имя пользователя в SID:

Get-WinEvent -filterhash @{Logname = 'system'} |
Select-Object @{Name="Computername";Expression = {$_.machinename}},@{Name="UserName";Expression = {$_.UserId.translate([System.Security.Principal.NTAccount]).value}}, TimeCreated

Get-WinEvent: быстрый поиск в событиях Event Viewer с помощью FilterHashtable

Рассмотренный выше способ выбора определенных событий из журналов Event Viewer с помощью Select-Object прост для понимая, но выполняется крайне медленно. Это особенно заметно при выборке большого количества событий. В большинстве случаев для выборки событий нужно использовать фильтрацию на стороне службы Event Viewer с помощью параметра FilterHashtable.

Попробуем сформировать список ошибок и предупреждений за 30 дней с помощью Where-Object и FilterHashtable. Сравнима скорость выполнения этих двух команд PowerShell с помощью Measure-Command:

$StartDate = (Get-Date).AddDays(-30)

Проверим скорость выполнения команды с Where-Object:

(Measure-Command {Get-WinEvent Application,System | Where-Object {($_.LevelDisplayName -eq "Error" -or $_.LevelDisplayName -eq "Warning") -and ($_.TimeCreated -ge $StartDate )}}).TotalMilliseconds

Аналогичная команда с FilterHashtable:

(Measure-Command {Get-WinEvent -FilterHashtable @{LogName = 'System','Application'; Level =2,3; StartTime=$StartDate }})..TotalMilliseconds

В данном примере видно, что команда выборки событий через FilterHashtable выполняется в 30 раз быстрее, чем если бы обычный Where-Object (
2.5
сек vs
76
секунд).

Если вам нужно найти события по EventID, используйте следующую команду с FilterHashtable:

Get-WinEvent -FilterHashtable @{logname='System';id=1074}|ft TimeCreated,Id,Message

В параметре FilterHashtable можно использовать фильтры по следующим атрибутам событий:

• LogName
• ProviderName
• Path
• Keywords (для поиска успешных событий нужно использовать значение 9007199254740992 или для неуспешных попыток 4503599627370496)
• ID
• Level (1=FATAL, 2=ERROR, 3=Warning, 4=Information, 5=DEBUG, 6=TRACE, 0=Info)
• StartTime
• EndTime
• UserID (SID пользователя)
• Data

Пример поиска события за определенный промежуток времени:

Get-WinEvent -FilterHashTable @{LogName='System'; StartTime=(get-date).AddDays(-7); EndTime=(get-date).AddHours(-1); ID=1234}

Если нужно найти определенный текст в описании события, можно использовать такую команду:

Get-WinEvent -FilterHashtable @{logname='System'}|Where {$_.Message -like "*USB*"}

Расширенный фильтры событий Get-WinEvent с помощью FilterXml

Фильтры Get-WinEvent с параметром FilterHashtable являются несколько ограниченными. Если вам нужно использовать для выборки событий сложные запросы с множеством условий, нужно использовать параметр FilterXml, который позволяет сформировать запрос на выбор событий в Event Viewer с помощью XML запроса. Как и FilterHashtable, фильтры FilterXml выполняется на стороне сервера, поэтому результат вы получите довольно быстро.

Например, аналогичный запрос для получения последних ошибок из журнала System за последние 30 дней может выглядеть так:

$xmlQuery = @'
<QueryList>
<Query Id="0" Path="System">
<Select Path="System">*[System[(Level=2 or Level=3) and TimeCreated[timediff(@SystemTime) &lt;= 2592000000]]]</Select>
</Query>
</QueryList>
'@
Get-WinEvent -FilterXML $xmlQuery

Для построения кода сложных XML запросов можно использовать графическую консоль Event Viewer:

1. Запустите
   eventvwr.msc
   ;
2. Найдите журнал для которого вы хотите создать и выберите Filter Current Log;
3. Выберите необходимые параметры запроса в форме. В этом примере я хочу найти события с определенными EventID за последние 7 дней от определенного пользователя;
4. Чтобы получить код XML запроса для параметра FilterXML, перейдите на вкладку XML и скопируйте полученный код (CTRL+A, CTRL+C);
5. Если нужно, вы можете вручную отредактировать данный запрос.

Для экспорта списка событий в CSV файл нужно использовать командлет Export-CSV:

$Events= Get-WinEvent -FilterXML $xmlQuery
$events| Export-CSV "C:psFilterSYSEvents.csv" -NoTypeInformation -Encoding UTF8

Получить логи Event Viewer с удаленных компьютеров

Для получения события с удаленного компьютер достаточно указать его имя в параметре -ComputerName:

$computer='msk-dc01'
Get-WinEvent -ComputerName $computer -FilterHashtable @{LogName="System"; StartTime=(get-date).AddHours(-24)} |   select Message,Id,TimeCreated

Можно опросить сразу несколько серверов/компьютеров и поискать на них определенные события. Список серверов можно получить из текстового файла:

$servers = Get-Content -Path C:psservers.txt

Или из Active Directory:

$servers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows server*" -and enabled -eq "true"').Name
foreach ($server in $servers) {
Get-WinEvent -ComputerName $server -MaxEvents 5 -FilterHashtable @{
LogName = 'System'; ID= 1234
} | Select-Object -Property ID, MachineName
}

Здесь есть другой пример для поиска событий блокировки учетной записи пользователя на всех контроллерах домена:

$Username = 'a.ivanov'
Get-ADDomainController -fi * | select -exp hostname | % {
$GweParams = @{
‘Computername’ = $_
‘LogName’ = ‘Security’
‘FilterXPath’ = "*[System[EventID=4740] and EventData[Data[@Name='TargetUserName']='$Username']]"
}
$Events = Get-WinEvent @GweParams
$Events | foreach {$_.Computer + " " +$_.Properties[1].value + ' ' + $_.TimeCreated}
}