[Windows运维]筛选Windows事件日志

Step:

1.打开Windows事件查看器(开始->运行->eventvwr.msc)

2.Sysmon的安装(可以监视系统的一切行为)

参考如下：https://www.freebuf.com/sectool/122779.html

3.使用筛选器查看我们想查看的事件，比如都有哪些进程被创建？EventID=1.创建进程的事件很多啊，怎样过滤多余的事件？

选择右侧'筛选当前日志'--->筛选器,XML选择xml，编辑其中内容。如果想编辑其中内容，需要先了解下日志事件的格式，如下所示：

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Sysmon" Guid="{5770385F-C22A-43E0-BF4C-06F5698FFBD9}" /> 
  <EventID>1</EventID> 
  <Version>5</Version> 
  <Level>4</Level> 
  <Task>1</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8000000000000000</Keywords> 
  <TimeCreated SystemTime="2019-05-23T08:08:17.283645500Z" /> 
  <EventRecordID>2317368</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="1452" ThreadID="3616" /> 
  <Channel>Microsoft-Windows-Sysmon/Operational</Channel> 
  <Computer>chz-xinandianzi</Computer> 
  <Security UserID="S-1-5-18" /> 
  </System>
- <EventData>
  <Data Name="RuleName" /> 
  <Data Name="UtcTime">2019-05-23 08:08:17.267</Data> 
  <Data Name="ProcessGuid">{F5D5875E-54F1-5CE6-0000-001082F0B91A}</Data> 
  <Data Name="ProcessId">12304</Data> 
  <Data Name="Image">C:\Windows\Microsoft.NET\Framework\v4.0.30319\cvtres.exe</Data> 
  <Data Name="FileVersion">12.00.52519.0 built by: VSWINSERVICING</Data> 
  <Data Name="Description">Microsoft® Resource File To COFF Object Conversion Utility</Data> 
  <Data Name="Product">Microsoft® .NET Framework</Data> 
  <Data Name="Company">Microsoft Corporation</Data> 
  <Data Name="CommandLine">C:\Windows\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\MANAGE~1.ECS\AppData\Local\Temp\RES80D5.tmp" "c:\Users\ManagedAdmin\XRFAppPlat.IEServer\Debug\CSC1E0FBC0A32F44D46B12F06D8F24F1B5.TMP"</Data> 
  <Data Name="CurrentDirectory">C:\Users\ManagedAdmin\XRFAppPlat.IEServer\Debug\</Data> 
  <Data Name="User">CHZ-XINANDIANZI\ManagedAdmin</Data> 
  <Data Name="LogonGuid">{F5D5875E-70BA-5CE3-0000-00209FCF1400}</Data> 
  <Data Name="LogonId">0x14cf9f</Data> 
  <Data Name="TerminalSessionId">2</Data> 
  <Data Name="IntegrityLevel">High</Data> 
  <Data Name="Hashes">SHA1=31B7A087F3C0325D11F8DE298F2D601AB8F94897</Data> 
  <Data Name="ParentProcessGuid">{F5D5875E-54F1-5CE6-0000-00103FE4B91A}</Data> 
  <Data Name="ParentProcessId">16064</Data> 
  <Data Name="ParentImage">C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe</Data> 
  <Data Name="ParentCommandLine">"C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"C:\Users\ManagedAdmin.ECS-WIN2012R2-0\AppData\Local\Temp\schitso3\schitso3.cmdline"</Data> 
  </EventData>
  </Event>

我现在想过滤 创建进程事件，同时CurrentDirectory不是C:\Users\ManagedAdmin\XRFAppPlat.IEServer\Debug\这个的事件列表，筛选条件如下所示：

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Sysmon/Operational">
    <Select Path="Microsoft-Windows-Sysmon/Operational">
*[System[(EventID=1)]] 
and
*[EventData[Data[@Name='CurrentDirectory']!='C:\Users\ManagedAdmin\XRFAppPlat.IEServer\Debug\']]
</Select>
  </Query>
</QueryList>

又比如想查看某段时间的事件？

*[System[(EventID=1) and TimeCreated[@SystemTime&gt;='2019-05-21T20:00:31.000Z' and @SystemTime&lt;='2019-05-21T20:50:31.999Z']]]

 

参考文档：

https://blog.51cto.com/yoke88/2320358?source=dra