Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Программирование, базы данных и автоматизация действий » Скриптовые языки администрирования Windows » PowerShell - отобрать пользователей по событию 4625 RemoteInteractive за определенную дату

< Предыдущая 1 2 3 Следующая >
Ответить
Настройки темы
PowerShell - отобрать пользователей по событию 4625 RemoteInteractive за определенную дату

Аватара для Tosha_l

Старожил


Сообщения: 277
Благодарности: 2

Профиль | Отправить PM | Цитировать

Изменения
Автор: Tosha_l
Дата: 18-03-2017
Добрый день, помогите пожалуйста накидать скрипт на powershell

Задача: нужно отобрать ТОП пользователей по событию 4625 RemoteInteractive (по RDP соединению) за определенную дату.
чтобы выводило имя пользователя, время, ip адрес

Отправлено: 21:45, 18-03-2017

 

Ветеран


Сообщения: 27449
Благодарности: 8087

Профиль | Отправить PM | Цитировать

Tosha_l, покажите несколько возможных вариантов значений поля .Message у данного события в журнале (у меня нет возможности посмотреть). Покажите текстом, обернув в тэги code.

Отправлено: 14:52, 19-03-2017 | #11



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для Tosha_l

Старожил


Сообщения: 277
Благодарности: 2

Профиль | Отправить PM | Цитировать

Цитата Iska:
Tosha_l, покажите несколько возможных вариантов значений поля .Message у данного события в журнале (у меня нет возможности посмотреть). Покажите текстом, обернув в тэги code. »
имеется введу поля откуда я беру значение для UserName?

Отправлено: 14:58, 19-03-2017 | #12


Ветеран


Сообщения: 27449
Благодарности: 8087

Профиль | Отправить PM | Цитировать

Имеются в виду вот это:
Скрытый текст
Это сообщение посчитали полезным следующие участники:

Отправлено: 15:07, 19-03-2017 | #13


Аватара для Tosha_l

Старожил


Сообщения: 277
Благодарности: 2

Профиль | Отправить PM | Цитировать

Код: Выделить весь код
Учетная запись, которой не удалось выполнить вход:
	ИД безопасности:		NULL SID
	Имя учетной записи:		oadm
Код: Выделить весь код
Учетная запись, которой не удалось выполнить вход:
	ИД безопасности:		NULL SID
	Имя учетной записи:		sirius
Код: Выделить весь код
Учетная запись, которой не удалось выполнить вход:
	ИД безопасности:		NULL SID
	Имя учетной записи:		администратор$p1r1t

Отправлено: 15:16, 19-03-2017 | #14


Ветеран


Сообщения: 27449
Благодарности: 8087

Профиль | Отправить PM | Цитировать

Tosha_l, мне нужно всё содержимое поля, не частичное. Кроме того, у Вас там ещё и Address тем же макаром извлекается.

Впрочем, можете попробовать зараз:
Скрытый текст
Код: Выделить весь код
$oStartDate  = Get-Date -Year 2017 -Month 3 -Day 1

$cEvents = Get-EventLog -LogName Security -After $oStartDate -InstanceId 4625
$oData = New-Object -TypeName 'System.Management.Automation.PSObject' -Property @{
    'Time'     = $null;
    'UserName' = $null;
    'Address'  = $null
}

$cEvents | ForEach-Object -Process {
    $oData.Time     = $_.TimeGenerated
    $oMatch = [System.Text.RegularExpressions.Regex]::Match($Message, 'Учетная запись, которой не удалось выполнить вход:\s*ИД безопасности:\s*\S*\s*Имя учетной записи:\s*(\S*)\s*Домен учетной записи:\s*(\S*)\s*[\s\S]*Сетевой адрес источника:\s*(\S*)\s*')
    
    if($oMatch.Success) {
        $oData.UserName = ($oMatch.Captures.Groups[2..1].Value) -join '\'
        $oData.Address  = $oMatch.Captures.Groups[3].Value
    }

    $oData
} | Group-Object -Property UserName | Sort-Object -Property Count -Descending
Это сообщение посчитали полезным следующие участники:

Отправлено: 15:42, 19-03-2017 | #15


Аватара для Tosha_l

Старожил


Сообщения: 277
Благодарности: 2

Профиль | Отправить PM | Цитировать

Скрытый текст
Код: Выделить весь код
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:15 знак:52
+         $oData.UserName = ($oMatch.Captures.Groups[ <<<< 2..1].Value) -join '\'
    + CategoryInfo          : InvalidOperation: (System.Object[]:Object[]) [], RuntimeException
    + FullyQualifiedErrorId : NullArray
 
Не удается индексировать в массив NULL.
C:\Users\oskin\Desktop\Аудит.ps1:16 знак:51
+         $oData.Address  = $oMatch.Captures.Groups[ <<<< 3].Value
    + CategoryInfo          : InvalidOperation: (3:Int32) [], RuntimeException
    + FullyQualifiedErrorId : NullArray


Скрытый текст
Код: Выделить весь код
Учетной записи не удалось выполнить вход в систему.

Субъект:
	ИД безопасности:		система
	Имя учетной записи:		IO$
	Домен учетной записи:		SIRIUS
	Код входа:		0x3e7

Тип входа:			11

Учетная запись, которой не удалось выполнить вход:
	ИД безопасности:		NULL SID
	Имя учетной записи:		oadm
	Домен учетной записи:		SIRIUS

Сведения об ошибке:
	Причина ошибки:		Ошибка при входе.
	Состояние:			0xc000005e
	Подсостояние:		0x0

Сведения о процессе:
	Идентификатор процесса вызывающей стороны:	0x1cfc
	Имя процесса вызывающей стороны:	C:\Windows\System32\consent.exe

Сведения о сети:
	Имя рабочей станции:	IO
	Сетевой адрес источника:	::1
	Порт источника:		0

Сведения о проверке подлинности:
	Процесс входа:		CredPro
	Пакет проверки подлинности:	Negotiate
	Промежуточные службы:	-
	Имя пакета (только NTLM):	-
	Длина ключа:		0


Скрытый текст
Код: Выделить весь код
Учетной записи не удалось выполнить вход в систему.

Субъект:
	ИД безопасности:		NULL SID
	Имя учетной записи:		-
	Домен учетной записи:		-
	Код входа:		0x0

Тип входа:			3

Учетная запись, которой не удалось выполнить вход:
	ИД безопасности:		NULL SID
	Имя учетной записи:		itllc1
	Домен учетной записи:		SIRIUS

Сведения об ошибке:
	Причина ошибки:		Неизвестное имя пользователя или неверный пароль.
	Состояние:			0xc000006d
	Подсостояние:		0xc000006a

Сведения о процессе:
	Идентификатор процесса вызывающей стороны:	0x0
	Имя процесса вызывающей стороны:	-

Сведения о сети:
	Имя рабочей станции:	BATYEV
	Сетевой адрес источника:	-
	Порт источника:		-

Сведения о проверке подлинности:
	Процесс входа:		NtLmSsp 
	Пакет проверки подлинности:	NTLM
	Промежуточные службы:	-
	Имя пакета (только NTLM):	-
	Длина ключа:		0

Отправлено: 17:20, 19-03-2017 | #16


Ветеран


Сообщения: 1259
Благодарности: 861

Профиль | Отправить PM | Цитировать

Код: Выделить весь код
$Dateinception = get-date -year 2017 -month 3 -day 1
$Dateend = get-date -year 2017 -month 3 -day 18
Get-WinEvent -FilterHashtable @{LogName="Security";ID=4625;StartTime=$Dateinception;EndTime=$Dateend} | 
		Select @{n = "TimeCreated";e={$_.TimeCreated}},@{n="User";e={$_.properties[5].Value}},@{n="Address";e={$_.properties[19].Value}}
Это сообщение посчитали полезным следующие участники:

Отправлено: 18:04, 19-03-2017 | #17


Аватара для Tosha_l

Старожил


Сообщения: 277
Благодарности: 2

Профиль | Отправить PM | Цитировать

Цитата Kazun:
Код:
$Dateinception = get-date -year 2017 -month 3 -day 1
$Dateend = get-date -year 2017 -month 3 -day 18
Get-WinEvent -FilterHashtable @{LogName="Security";ID=4625;StartTime=$Dateinception;EndTime=$Dateend} |
Select @{n = "TimeCreated";e={$_.TimeCreated}},@{n="User";e={$_.properties[5].Value}}, »
Код рабочий, но как сделать чтобы пользователи были в алфавитном порядке, как бы отследить ТОП неправильных по событию 4625

Отправлено: 18:34, 19-03-2017 | #18


Ветеран


Сообщения: 1259
Благодарности: 861

Профиль | Отправить PM | Цитировать

Код: Выделить весь код
| group User | sort User
Это сообщение посчитали полезным следующие участники:

Отправлено: 18:40, 19-03-2017 | #19


Аватара для Tosha_l

Старожил


Сообщения: 277
Благодарности: 2

Профиль | Отправить PM | Цитировать

Цитата Kazun:
Код:
| group User | sort User »
а куда вставить?

Отправлено: 18:53, 19-03-2017 | #20

< Предыдущая 1 2 3 Следующая >


Компьютерный форум OSzone.net » Программирование, базы данных и автоматизация действий » Скриптовые языки администрирования Windows » PowerShell - отобрать пользователей по событию 4625 RemoteInteractive за определенную дату

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Удаление информации по событию interminable Хочу все знать 26 22-02-2015 23:10
CMD/BAT - Копирование файлов по маске за текущую дату или пропуская ранее скопированные файлы jastreb83 Скриптовые языки администрирования Windows 3 19-08-2014 13:36
CMD/BAT - [решено] ходить по каталогам не глубже второго вложенного и считать файлы за текущую дату DeGReeS Скриптовые языки администрирования Windows 8 26-08-2013 17:43
PowerShell - [решено] Копирование файлов за определенную дату tarasov.evgeny Скриптовые языки администрирования Windows 2 15-12-2010 18:32
[решено] JavaScript. Скрыть/показать элемент по событию. System Failure Вебмастеру 12 20-07-2007 12:24


« Предыдущая тема | Следующая тема »


 
Переход