שאילתת יומני אירועים באופן יעיל עם Get-EventLog של PowerShell

PS> Get-EventLog -LogName Application -InstanceId 916

PS> Get-EventLog -LogName Application -InstanceId 916 -Message '*svchost*'

<#
.SYNOPSIS
    סקריפט זה מחפש במחשב של Windows את כל רשומות יומן האירועים או רשומות הטקסט בין זמן ההתחלה והסיום המצויין.
.DESCRIPTION
    סקריפט זה רואה כל יומן אירועים בתחום הזמן המצויין וכל יומני טקסט שיש להם זמן כתיבה אחרון בתחום זמן זה או מכילים שורה שיש בה התייחסות לתאריך/שעה בתחום הזמן. הסקריפט רושם את המידע הזה לסט של קבצים ומעתיק קובץ יומן מעניין לצורך ניתוח נוסף.
.EXAMPLE
    PS> .\Get-EventsFromTimeframe.ps1 -StartTimestamp '01-29-2014 13:25:00' -EndTimeStamp '01-29-2014 13:28:00' -ComputerName COMPUTERNAME
 
    בדוגמה זו, מתבצע חיפוש לכל רשומות יומן אירועים בין StartTimestamp ו-EndTimestamp וכל קובץ עם סיומת בתוך הפרמטר $FileExtension שהוא או שהוא נכתב לאחרונה בתחום הזמן או מכיל שורה עם התייחסות לתאריך/שעה בתחום הזמן.
.PARAMETER StartTimestamp
 התאריך/שעה הקטנה ביותר שבו תרצה לחפש אחרי אירועים.
.PARAMETER EndTimestamp
 התאריך/שעה הגדולה ביותר שבו תרצה לחפש אחרי אירועים.
.PARAMETER Computername
 שם המחשב המרוחק (או המקומי) שבו תרצה לחפש.
.PARAMETER OutputFolderPath
 הנתיב לתיקייה שתכיל את קבצי הטקסט שיכילו את האירועים.
.PARAMETER LogAuditFilPath
 הנתיב לקובץ הטקסט שיתעד את קובץ היומן, מספר השורה וסוג ההתאמה ליומנים שהתאימו.
.PARAMETER EventLogsOnly
 השתמש בפרמטר המתג אם תרצה לחפש רק ביומני אירועים.
.PARAMETER LogFilesOnly
 השתמש בפרמטר זה אם תרצה לחפש רק יומנים במערכת הקבצים.
.PARAMETER ExcludeDirectory
 אם אתה מחפש במערכת הקבצים, ציין את נתיב התיקייה שבה אתה רוצה לדלג על החיפוש.
.PARAMETER FileExtension
 ציין סט של סיומות קבצים מופרדות בפסיק שתרצה לחפש במערכת הקבצים. ברירת המחדל היא סיומות 'log,txt,wer'.
#>
[CmdletBinding(DefaultParameterSetName = 'Neither')]
param (
    [Parameter(Mandatory)]
    [datetime]$StartTimestamp,
    [Parameter(Mandatory)]
    [datetime]$EndTimestamp,
    [Parameter(ValueFromPipeline,
        ValueFromPipelineByPropertyName)]
    [string]$ComputerName = 'localhost',
    [Parameter()]
 [string]$OutputFolderPath = ".\$Computername",
 [Parameter(ParameterSetName = 'LogFiles')]
 [string]$LogAuditFilePath = "$OutputFolderPath\LogActivity.csv",
 [Parameter(ParameterSetName = 'EventLogs')]
 [switch]$EventLogsOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
    [switch]$LogFilesOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$ExcludeDirectory,
 [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$FileExtension = @('log', 'txt', 'wer')
)
 
begin {
 if (!$EventLogsOnly.IsPresent) {
 ## צור את התיקייה המקומית שבה ישמרו קבצי היומן שתואמים לקריטריונים
 $LogsFolderPath = "$OutputFolderPath\logs"
 if (!(Test-Path $LogsFolderPath)) {
 mkdir $LogsFolderPath | Out-Null
 }
 }
 
 function Add-ToLog($FilePath,$LineText,$LineNumber,$MatchType) {
 $Audit = @{
 'FilePath' = $FilePath;
 'LineText' = $LineText
 'LineNumber' = $LineNumber
 'MatchType' = $MatchType
 }
 [pscustomobject]$Audit | Export-Csv -Path $LogAuditFilePath -Append -NoTypeInformation
 }
}
 
process {
 
    ## הפעל רק אם המשתמש רוצה למצוא רשומות יומן אירועים
    if (!$LogFilesOnly.IsPresent) {
 ## מצא את כל שמות יומני האירועים שמכילים לפחות אירוע 1
 $Logs = (Get-WinEvent -ListLog * -ComputerName $ComputerName | where { $_.RecordCount }).LogName
 $FilterTable = @{
 'StartTime' = $StartTimestamp
 'EndTime' = $EndTimestamp
 'LogName' = $Logs
 }
 
 ## מצא את כל האירועים בכל יומני האירועים שבין זמן ההתחלה והסיום
 $Events = Get-WinEvent -ComputerName $ComputerName -FilterHashtable $FilterTable -ea 'SilentlyContinue'
 Write-Verbose "Found $($Events.Count) total events"
 
 ## המר את המאפיינים למשהו ידידותי יותר והוסף כל אירוע לקובץ היומן הטקסט
 $LogProps = @{ }
 [System.Collections.ArrayList]$MyEvents = @()
 foreach ($Event in $Events) {
 $LogProps.Time = $Event.TimeCreated
 $LogProps.Source = $Event.ProviderName
 $LogProps.EventId = $Event.Id
 if ($Event.Message) {
 $LogProps.Message = $Event.Message.Replace("<code>n", '|').Replace("</code>r", '|')
 }
 $LogProps.EventLog = $Event.LogName
 $MyEvents.Add([pscustomobject]$LogProps) | Out-Null
 }
 $MyEvents | sort Time | Export-Csv -Path "$OutputFolderPath\eventlogs.txt" -Append -NoTypeInformation
 }
 
 ## הפעל רק אם המשתמש רוצה למצוא קבצי יומן
 if (!$EventLogsOnly.IsPresent) {
        ## ספור את כל הגרסאות המנהל המרחוק במחשב המרוחק. אני עושה זאת במקום לספור את כל הדיסקים הפיזיים כי
        ## הדיסק עשוי להיות שם והשיתוף לא וזה אומר שאני לא יכול לגשת לדיסק בכל מקרה.
 $Shares = Get-WmiObject -ComputerName $ComputerName -Class Win32_Share | where { $_.Path -match '^\w{1}:\\$' }
 [System.Collections.ArrayList]$AccessibleShares = @()
 ## וודא שאני יכול לגשת לכל השיתופים המנהליים מרחוק
 foreach ($Share in $Shares) {
 $Share = "\\$ComputerName\$($Share.Name)"
 if (!(Test-Path $Share)) {
 Write-Warning "Unable to access the '$Share' share on '$Computername'"
 } else {
 $AccessibleShares.Add($Share) | Out-Null 
 }
 }
 
 $AllFilesQueryParams = @{
 Path = $AccessibleShares
 Recurse = $true
 Force = $true
 ErrorAction = 'SilentlyContinue'
 File = $true
 }
 ## הוסף כל תיקיות שצוינו בפרמטר $ExcludeDirectory לא לחפש בהן קבצי יומן
 if ($ExcludeDirectory) {
 $AllFilesQueryParams.ExcludeDirectory = $ExcludeDirectory 
 }
 ## צור את מחרוזת הרגולרית המטורפת שאני משתמשת בה לחיפוש אחר כמה פורמטים שונים של תאריך/שעה.
 ## זה נעשה בניסיון לחפש מחרוזות תאריך/שעה בכל קובץ טקסט שנמצא
 ##TODO: הוסף אפשרות להתאים ל-Jan, Feb, Mar וכו'
 $DateTimeRegex = "($($StartTimestamp.Month)[\\.\-/]?$($StartTimestamp.Day)[\\.\-/]?[\\.\-/]$($StartTimestamp.Year))|($($StartTimestamp.Year)[\\.\-/]?$($StartTimestamp.Month)[\\.\-/]?[\\.\-/]?$($StartTimestamp.Day))"
 ## ספור את כל הקבצים שתואמים את פרמטרי השאילתה שיש להם תוכן
 Get-ChildItem @AllFilesQueryParams | where { $_.Length -ne 0 } | foreach {
 try {
 Write-Verbose "Processing file '$($_.Name)'"
 ## רשום את הקובץ אם זמן הכתיבה האחרון בתחום הזמן. זה מוצא קבצי יומן שאולי אינם רשומים ב
 ## חותם תאריך/שעה אך עדיין עשויים להיות מעורבים באירוע שהמשתמש מנסה למצוא.
 if (($_.LastWriteTime -ge $StartTimestamp) -and ($_.LastWriteTime -le $EndTimestamp)) {
 Write-Verbose "Last write time within timeframe for file '$($_.Name)'"
 Add-ToLog -FilePath $_.FullName -MatchType 'LastWriteTime'
 }
 ## אם הקובץ המצא תואם לסט הסיומות שאני מנסה למצוא וזה בעצם קובץ טקסט פשוט.
 ## אני משתמש ב-Get-Content כדי לוודא שזה טקסט פשוט לפני שאני עובר עליו.
 if ($FileExtension -contains $_.Extension.Replace('.','') -and !((Get-Content $_.FullName -Encoding Byte -TotalCount 1024) -contains 0)) {
 ## בדוק את תוכן הקובץ הטקסט להפניה לתאריכים בתחום הזמן
 Write-Verbose "Checking log file '$($_.Name)' for date/time match in contents"
 $LineMatches = Select-String -Path $_.FullName -Pattern $DateTimeRegex
 if ($LineMatches) {
 Write-Verbose "Date/time match found in file '$($_.FullName)'"
 ## רשום את כל השורות התואמות לקובץ האודיט.
 foreach ($Match in $LineMatches) {
 Add-ToLog -FilePath $_.FullName -LineNumber $Match.LineNumber -LineText $Match.Line -MatchType 'Contents'
 }
 ## צור את אותו נתיב לקובץ היומן על המחשב המרוחק בתוך תיקיית הייצוא ו
 ## העתק את קובץ היומן עם אירוע בתחום הזמן לנתיב זה.
 ## זה לא יעבוד אם יתקל בנתיב קובץ מעל 255 תווים.
 $Trim = $_.FullName.Replace("\\$Computername\", '')
 $Destination = "$OutputFolderPath\$Trim"
 if (!(Test-Path $Destination)) {
 ##TODO: הסר את פעולת הטיפול בשגיאות כאשר נתמכת תמיכה בנתיבים ארוכים
 mkdir $Destination -ErrorAction SilentlyContinue | Out-Null
 }
 Copy-Item -Path $_.FullName -Destination $Destination -ErrorAction SilentlyContinue -Recurse
 }
 }
 } catch {
 Write-Warning $_.Exception.Message 
 }
 }
 }
}