Interroger les journaux d’événements efficacement avec PowerShell Get-EventLog

PS> Get-EventLog -LogName Application -InstanceId 916

PS> Get-EventLog -LogName Application -InstanceId 916 -Message '*svchost*'

.SYNOPSIS
    Ce script recherche sur un ordinateur Windows toutes les entrées du journal d'événements ou du journal texte
    entre une heure de début et une heure de fin spécifiées.
.DESCRIPTION
    Ce script énumère tous les journaux d'événements dans une plage horaire spécifiée et tous les journaux texte
    qui ont une heure d'écriture dans la plage horaire ou contiennent une ligne avec une date/heure
    de référence dans la plage horaire. Il enregistre ces informations dans un ensemble de fichiers et copie
    tout fichier journal intéressant pour une analyse ultérieure.
.EXAMPLE
    PS> .\Get-EventsFromTimeframe.ps1 -StartTimestamp '01-29-2014 13:25:00' -EndTimeStamp '01-29-2014 13:28:00' -ComputerName COMPUTERNAME
 
    Cet exemple recherche toutes les entrées du journal d'événements entre StartTimestamp et EndTimestamp et tout fichier
    avec une extension à l'intérieur du paramètre $FileExtension qui a été soit écrit dans la plage horaire
    ou contient une ligne avec une référence date/heure dans la plage horaire.
.PARAMETER StartTimestamp
 La date/heure la plus tôt à partir de laquelle vous souhaitez commencer la recherche d'événements.
.PARAMETER EndTimestamp
 La date/heure la plus récente à partir de laquelle vous souhaitez commencer la recherche d'événements.
.PARAMETER Computername
 Le nom de l'ordinateur distant (ou local) que vous souhaitez rechercher.
.PARAMETER OutputFolderPath
 Le chemin du dossier qui contiendra les fichiers texte contenant les événements.
.PARAMETER LogAuditFilPath
 Le chemin du fichier texte qui documentera le fichier journal, le numéro de ligne et le type de correspondance
 pour les journaux qui ont été trouvés.
.PARAMETER EventLogsOnly
 Utilisez ce commutateur si vous souhaitez uniquement rechercher dans les journaux d'événements.
.PARAMETER LogFilesOnly
 Utilisez ce paramètre si vous souhaitez uniquement rechercher des journaux sur le système de fichiers.
.PARAMETER ExcludeDirectory
 Si vous recherchez sur le système de fichiers, spécifiez les dossiers que vous souhaitez ignorer.
.PARAMETER FileExtension
 Spécifiez un ou plusieurs ensembles d'extensions de fichiers séparés par des virgules que vous souhaitez rechercher sur le système de fichiers.
 Cela défaut aux extensions 'log,txt,wer'.
#>
[CmdletBinding(DefaultParameterSetName = 'Neither')]
param (
    [Parameter(Mandatory)]
    [datetime]$StartTimestamp,
    [Parameter(Mandatory)]
    [datetime]$EndTimestamp,
    [Parameter(ValueFromPipeline,
        ValueFromPipelineByPropertyName)]
    [string]$ComputerName = 'localhost',
    [Parameter()]
 [string]$OutputFolderPath = ".\$Computername",
 [Parameter(ParameterSetName = 'LogFiles')]
 [string]$LogAuditFilePath = "$OutputFolderPath\LogActivity.csv",
 [Parameter(ParameterSetName = 'EventLogs')]
 [switch]$EventLogsOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
    [switch]$LogFilesOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$ExcludeDirectory,
 [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$FileExtension = @('log', 'txt', 'wer')
)
 
begin {
 if (!$EventLogsOnly.IsPresent) {
 ## Créer le répertoire local où stocker les fichiers journaux correspondant aux critères
 $LogsFolderPath = "$OutputFolderPath\logs"
 if (!(Test-Path $LogsFolderPath)) {
 mkdir $LogsFolderPath | Out-Null
 }
 }
 
 function Add-ToLog($FilePath,$LineText,$LineNumber,$MatchType) {
 $Audit = @{
 'FilePath' = $FilePath;
 'LineText' = $LineText
 'LineNumber' = $LineNumber
 'MatchType' = $MatchType
 }
 [pscustomobject]$Audit | Export-Csv -Path $LogAuditFilePath -Append -NoTypeInformation
 }
}
 
process {
 
    ## Exécuter uniquement si l'utilisateur souhaite trouver des entrées de journal d'événements
    if (!$LogFilesOnly.IsPresent) {
 ## Trouver tous les noms de journaux d'événements qui contiennent au moins 1 événement
 $Logs = (Get-WinEvent -ListLog * -ComputerName $ComputerName | where { $_.RecordCount }).LogName
 $FilterTable = @{
 'StartTime' = $StartTimestamp
 'EndTime' = $EndTimestamp
 'LogName' = $Logs
 }
 
 ## Trouver tous les événements dans tous les journaux d'événements qui se situent entre les horodatages de début et de fin
 $Events = Get-WinEvent -ComputerName $ComputerName -FilterHashtable $FilterTable -ea 'SilentlyContinue'
 Write-Verbose "Found $($Events.Count) total events"
 
 ## Convertir les propriétés en quelque chose de plus convivial et ajouter chaque événement au fichier texte du journal d'événements
 $LogProps = @{ }
 [System.Collections.ArrayList]$MyEvents = @()
 foreach ($Event in $Events) {
 $LogProps.Time = $Event.TimeCreated
 $LogProps.Source = $Event.ProviderName
 $LogProps.EventId = $Event.Id
 if ($Event.Message) {
 $LogProps.Message = $Event.Message.Replace("<code>n", '|').Replace("</code>r", '|')
 }
 $LogProps.EventLog = $Event.LogName
 $MyEvents.Add([pscustomobject]$LogProps) | Out-Null
 }
 $MyEvents | sort Time | Export-Csv -Path "$OutputFolderPath\eventlogs.txt" -Append -NoTypeInformation
 }
 
 ## Exécuter uniquement si l'utilisateur souhaite trouver des fichiers journaux
 if (!$EventLogsOnly.IsPresent) {
        ## Énumérer toutes les partages d'administration à distance sur l'ordinateur distant. Je fais cela au lieu d'énumérer tous les disques physiques car
        ## le disque peut être là et le partage peut ne pas l'être, ce qui signifie que je ne peux pas accéder au disque de toute façon.
 $Shares = Get-WmiObject -ComputerName $ComputerName -Class Win32_Share | where { $_.Path -match '^\w{1}:\\$' }
 [System.Collections.ArrayList]$AccessibleShares = @()
 ## Assurer que je peux accéder à tous les partages d'administration à distance
 foreach ($Share in $Shares) {
 $Share = "\\$ComputerName\$($Share.Name)"
 if (!(Test-Path $Share)) {
 Write-Warning "Unable to access the '$Share' share on '$Computername'"
 } else {
 $AccessibleShares.Add($Share) | Out-Null 
 }
 }
 
 $AllFilesQueryParams = @{
 Path = $AccessibleShares
 Recurse = $true
 Force = $true
 ErrorAction = 'SilentlyContinue'
 File = $true
 }
 ## Ajouter tous les répertoires spécifiés dans $ExcludeDirectory pour ne pas rechercher de fichiers journaux
 if ($ExcludeDirectory) {
 $AllFilesQueryParams.ExcludeDirectory = $ExcludeDirectory 
 }
 ## Créer la chaîne regex folle que j'utilise pour rechercher plusieurs formats de date/heure différents.
 ## Ceci est utilisé dans une tentative de recherche de chaînes date/heure dans chaque fichier texte trouvé
 ##TODO: Ajouter la possibilité de correspondre à Jan, Feb, Mar, etc.
 $DateTimeRegex = "($($StartTimestamp.Month)[\\.\-/]?$($StartTimestamp.Day)[\\.\-/]?[\\.\-/]$($StartTimestamp.Year))|($($StartTimestamp.Year)[\\.\-/]?$($StartTimestamp.Month)[\\.\-/]?[\\.\-/]?$($StartTimestamp.Day))"
 ## Énumérer tous les fichiers correspondant aux paramètres de requête qui ont du contenu
 Get-ChildItem @AllFilesQueryParams | where { $_.Length -ne 0 } | foreach {
 try {
 Write-Verbose "Processing file '$($_.Name)'"
 ## Enregistrer le fichier si l'heure de la dernière écriture est dans la plage horaire. Cela trouve des fichiers journaux qui peuvent ne pas enregistrer un
 ## horodatage date/heure mais peuvent toujours être impliqués dans l'événement que l'utilisateur essaie de trouver.
 if (($_.LastWriteTime -ge $StartTimestamp) -and ($_.LastWriteTime -le $EndTimestamp)) {
 Write-Verbose "Last write time within timeframe for file '$($_.Name)'"
 Add-ToLog -FilePath $_.FullName -MatchType 'LastWriteTime'
 }
 ## Si le fichier trouvé correspond à l'ensemble d'extensions que j'essaie de trouver et qu'il s'agit effectivement d'un fichier texte brut.
 ## J'utilise Get-Content pour vérifier simplement que c'est du texte brut avant de le parcourir.
 if ($FileExtension -contains $_.Extension.Replace('.','') -and !((Get-Content $_.FullName -Encoding Byte -TotalCount 1024) -contains 0)) {
 ## Vérifier le contenu du fichier texte pour des références à des dates dans la plage horaire
 Write-Verbose "Checking log file '$($_.Name)' for date/time match in contents"
 $LineMatches = Select-String -Path $_.FullName -Pattern $DateTimeRegex
 if ($LineMatches) {
 Write-Verbose "Date/time match found in file '$($_.FullName)'"
 ## Enregistrer toutes les lignes correspondantes dans le fichier d'audit.
 foreach ($Match in $LineMatches) {
 Add-ToLog -FilePath $_.FullName -LineNumber $Match.LineNumber -LineText $Match.Line -MatchType 'Contents'
 }
 ## Créer le même chemin vers le fichier journal sur l'ordinateur distant à l'intérieur du répertoire de sortie du journal et
 ## copier le fichier journal avec un événement dans la plage horaire vers ce chemin.
 ## Cela ne fonctionnera pas si un chemin de fichier supérieur à 255 caractères est rencontré.
 $Trim = $_.FullName.Replace("\\$Computername\", '')
 $Destination = "$OutputFolderPath\$Trim"
 if (!(Test-Path $Destination)) {
 ##TODO: Supprimer l'action d'erreur lorsque la prise en charge des chemins longs est implémentée
 mkdir $Destination -ErrorAction SilentlyContinue | Out-Null
 }
 Copy-Item -Path $_.FullName -Destination $Destination -ErrorAction SilentlyContinue -Recurse
 }
 }
 } catch {
 Write-Warning $_.Exception.Message 
 }
 }
 }
}