log parser分析windows日志

首先将windows安全日志导出,步骤如下:

运行eventvwr.msc命令,打开windows日志,如下图,将所有事件另存为:

保存完之后是一个.evtx格式的文件,将使用log parser分析这个导出的日志:

分析命令如下:

LogParser.exe -i:EVT "SELECT TimeGenerated,EXTRACT_TOKEN(Strings,0,'|') AS USERNAME,EXTRACT_TOKEN(Strings,2,'|') AS SERVICE\_NAME,EXTRACT_TOKEN(Strings,5,'|') AS Client_IP FROM 'C:\Users\huowu\Desktop\111.evtx' WHERE EventID=4798"

 

posted @ 2018-12-16 20:02  BigZero  阅读(2250)  评论(0编辑  收藏