Как отфильтровать журнал событий Windows с подстановочными знаками?
Согласно документу здесь, подстановочный знак звездочки поддерживается и, следовательно, он должен работать, например, в.
* [EventData [Data [@ Name = 'TargetUserName'] = 'User1 *']]
но я не могу заставить работать какой-либо подстановочный фильтр - кто-нибудь смог это сделать?
2 ответа
Селектор XPath должен начинаться с *, однако вы не можете использовать * для фильтрации полей, так как Xpath 1.0 не имеет contains оператор.
Ограничения XPath 1.0: журнал событий Windows поддерживает подмножество XPath 1.0. Существуют ограничения на то, какие функции работают в запросе. Например, вы можете использовать
position,Band, а такжеtimediffфункции в запросе, но другие функции, такие какstarts-withа такжеcontainsв настоящее время не поддерживается.
Используйте Powershell
Get-EventLog -LogName "System" | ?{$_.Message -like "*YourSearchString*"} | Out-GridView