Question

我正在尝试用PowerShell写一些东西，对PowerShell来说是全新的，我需要帮助。我要做的是从安全日志中获取信息。具体来说，是过去两周内用户的最后一次登录。到目前为止，我所拥有的代码是根据最近100个事件获取事件ID 4624的登录信息。这不仅返回用户，还返回计算机。如何在两周内将结果限制为仅限用户？这甚至可能吗？

$eventList = @()
Get-EventLog "Security" -After $Date `
    | Where -FilterScript {$_.EventID -eq 4624 -and $_.ReplacementStrings[4].Length -gt 10} `
    | foreach-Object {
        $row = "" | Select UserName, LoginTime
        $row.UserName = $_.ReplacementStrings[5]
        $row.LoginTime = $_.TimeGenerated
        $eventList += $row
        }
$eventList

编辑：解决了代码

$Date = [DateTime]::Now.AddDays(-14)
$Date.tostring("MM-dd-yyyy"), $env:Computername
$eventList = @()
Get-EventLog "Security" -After $Date `
    | Where -FilterScript {$_.EventID -eq 4624 -and $_.ReplacementStrings[4].Length -gt 10 -and $_.ReplacementStrings[5] -notlike "*$"} `
    | foreach-Object {
        $row = "" | Select UserName, LoginTime
        $row.UserName = $_.ReplacementStrings[5]
        $row.LoginTime = $_.TimeGenerated
        $eventList += $row
        }
$eventList

Answer 1

使用-before和-after参数按日期过滤日志。使用get-help get-eventlog -full查看所有参数。

Answer 2

用户的上次登录存储在Active Directory中。似乎从咀嚼事件日志开始将它拉出来要容易得多。

Answer 3

使用powershell搜索AD

Import-Module ActiveDirectory

Get-QADComputer -ComputerRole DomainController | foreach { （Get-QADUser -Service $ _。Name -SamAccountName username）.LastLogon.Value } |测量 - 最新

Powershell安全日志Get-EventLog

3 个答案: