日志与审计：LogParser的基本操作

最新推荐文章于 2022-06-23 21:59:37 发布

study_46

最新推荐文章于 2022-06-23 21:59:37 发布

阅读量1k

点赞数

分类专栏：日志分析软件

本文链接：https://blog.csdn.net/study_46/article/details/118709419

版权

本文详细介绍了如何使用LogParser工具进行Windows系统日志的查询、筛选、转换、统计和分析，包括基础查询、字段提取、时间戳处理、过滤、外部SQL查询文件的使用、结果保存、数据排序、统计、分组计算等高级操作，旨在提升日志管理和审计效率。

摘要由CSDN通过智能技术生成

1、基础查询
查找Windows系统中的所有”安全”日志。
Security

C:\>LogParser -i:EVT -o:NAT "SELECT * FROM Security"

System

C:\>LogParser -i:EVT -o:NAT "SELECT * FROM System"

2、查找特定的字段
查找Windows系统中的所有”安全”日志的TimeGenerated, EventTypeName, SourceName字段。

C:\>LogParser -i:EVT -o:NAT "SELECT TimeGenerated, EventTypeName, SourceName FROM Security"

3、使用函数
1.查找Windows系统中的所有”安全”日志的TimeGenerated, EventTypeName, SourceName字段。并把时间戳换成日期（TO_DATE函数）。

C:\>LogParser -i:EVT -o:NAT "SELECT TO_DATE(TimeGenerated), EventTypeName, SourceName FROM Security"

2.查找Windows系统中的所有”安全”日志的TimeGenerated, EventTypeName, SourceName字段。把时间戳换成日期，并将EventTypeName中的第一个单词提取出来，将其他单词丢掉（EXTRACT_TOKEN函数）。

C:\>LogParser -i:EVT -o:NAT "SELECT TO_DATE(TimeGenerated),TO_UPPERCASE(EXTRACT_TOKEN(EventTypeName, 0, ' ')), SourceName FROM Security"

查找Windows系统中的所有“系统”日志的TimeGenerated, EventTypeName, SourceName字段。把时间戳换成日期，并将EventTypeName中的第一个单词提取出来，将其他单词丢掉。

C:\>LogParser -i:EVT -o:NAT "SELECT‘xiaoyezi’,TO_DATE(TimeGenerated), TO_UPPERCASE( EXTRACT_TOKEN(EventTypeName, 0, ' ') ), SourceName FROM System"

4、使用常量
1.查找Windows系统中的

关注