Windows日志使用电脑日志怎么看( 二 ) _小知识

快速提取关键事件，效果如下图所示:

文章插图

相关工具
1、日志解析器
下载地址:https://www.microsoft.com/en-us/download/details.aspx?.身份证资源网=24659 。
使用示例:https://mlichtenberg . WordPress . com/2011/02/03/log-parser-rocks-50以上-示例/
日志分析器是由微软公司生产的。它功能强大，易于使用。它可以分析基于文本的日志文件、XML文件、CSV(逗号分隔)文件、微软视窗操作系统的事件日志、注册表、文件系统和活动目录。
日志解析器使用SQL语法查询分析日志，甚至在各种图表中显示分析结果。
基本查询结构
Logparser.exe–i:EVT–o:DATAGRID"SELECT*FROM.\xx.evtx"分析日志
(1)查询登录成功的事件。
登录成功的所有事件LogParser.exe-i:EVT–o:DATAGRID"SELECTrecordnumber,timegenerated,eventid,Computername,EXTRACT_TOKEN(Message,38,'')asLoginipFROM.\Security1.evtxwhereEventID=4624"指定登录时间范围的事件：LogParser.exe-i:EVT–o:DATAGRID"SELECTrecordnumber,timegenerated,eventid,Computername,EXTRACT_TOKEN(Message,38,'')asLoginipFROM.\Security1.evtxwhereTimeGenerated>'2021-04-2500:00:01'andTimeGenerated<'2021-04-3000:00:01'andEventID=4624"提取登录成功的用户名和IP：LogParser.exe-i:EVT–o:DATAGRID"SELECTEXTRACT_TOKEN(Message,13,'')as&nbs资源网p;EventType,TimeGeneratedasLoginTime,EXTRACT_TOKEN(Strings,5,'|')asUsername,EXTRACT_TOKEN(Message,38,'')asLoginipFROM.\Security1.evtxwhereEventID=4624"查询登录成功的事件，效果如下图所示:

文章插图

(2)查询登录失败事件。
登录失败的所有事件：LogParser.exe-i:EVT–o:DATAGRID"SELECTrecordnumber,timegenerated,eventid,Computername,EXTRACT_TOKEN(Message,38,'')asLoginipFROM.\Security1.evtxwhereEventID=4625"提取登录失败用户名进行聚合统计：LogParser.exe-i:EVT"SELECTEXTRACT_TOKEN(Message,13,'')asEventType,EXTRACT_TOKEN(Message,19,'')asuser,count(EXTRACT_TOKEN(Message,19,''))asTimes,EXTRACT_TOKEN(Message,39,'')asLoginipFROM.\Security1.evtxwhereEventID=4625GROUPBYMessage"聚合登录失败事件，效果如下图所示:

文章插图

(3)历史系统启动和关闭记录。
LogParser.exe-i:EVT–o:DATAGRID"SELECTTimeGenerated,EventID,MessageFROM.\System1.evtxwhereEventID=6005orEventID=6006"查询开关机事件，效果如下图所示:

文章插图

2、日志解析器蜥蜴
logParser蜥蜴有一个图形界面，其中封装了LogParser命令，使得操作更加简单。与此同时，它还整合了美学。ultrachart.core.v4.3和Infragistics.EXCEL.v4.3.dll等。，查询结果可以以图表或Excel格式显示。像logParser一样，Log Parser蜥蜴可以分析服务器日志、网站日志等。，并支持基于文本的日志文件、XML文件等。
日志蜥蜴下载地址:https://lizard-labs.com/log_parser_lizard.aspx.
依赖包框架4 .5，下载地址:https://www.microsoft.com/en-us/download/details.aspx?. id = 42642
查询登录成功的事件，效果如下图所示:

文章插图

3、事件日志浏览器
事件浏览器是一个非常有用的Windows日志分析工具。它可以用来查看、监控、分析和记录事件，包括微软视窗的安全、系统、应用程序和其他记录的事件。其强大的过滤功能可以快速过滤出有价值的信息。
事件浏览器下载地址:https://event-log-explorer.en.softonic.com/.
查询登录成功的事件，效果如下图所示: