У меня есть файл журнала безопасности Windows 2003 в формате evt. Мне нужно отфильтровать журнал по EventID 540 и создать из него список уникальных пользователей. Для этого я работаю на машине с Windows 7. Есть идеи по лучшему пути?
РЕДАКТИРОВАТЬ
Этот сценарий сделал это за меня
$ErrorActionPreference= 'silentlycontinue'
$users = @()
Get-WinEvent -FilterHashtable @{Path="C:\TEMP\LogonLogoffEvents.evtx";ProviderName="security";id=540} | foreach {
$sid = $_.userid;
if($sid -eq $null) { return; }
$objSID = New-Object System.Security.Principal.SecurityIdentifier($sid);
$objUser = $objSID.Translate([System.Security.Principal.NTAccount]);
if ($users -NotContains $objUser.Value) {
$users += $objUser.Value
$objUser.Value >> "C:\temp\users.txt"
}
}
PowerShell - ваш друг: Используйте PowerShell для анализа сохраненных журналов событий