-
『应急响应实践』LogParser日志分析实践
任务
- 筛选登录失败日志，要求：日期2021-10-19、时间14:40-15:00
- 筛选日志中的进程创建，要求：排除进程
C:\Windows\System32\winlogon.exe
日志源码:
前置知识
windows日志格式
常用应急事件ID
Strings文本列格式
例如
SELECT EXTRACT_TOKEN(Strings,18,'|’)可以截出源IP任务一：筛选登陆失败日志
LogParser.exe -i:evt -o:datagrid "select * from 'log.evtx' where TimeGenerated>='2021-10-19 14:40:00' and TimeGenerated<='2021-10-19 15:00:00' and EventID=4625"- 1
任务二：筛选日志中的进程创建
LogParser.exe -i:evt -o:datagrid "select * from 'log.evtx' where EventID=4688 and extract_token(Strings,5,'|')<>'C:\Windows\System32\winlogon.exe'"- 1
排除前：
排除后：
完
欢迎关注我的CSDN博客 ：@Ho1aAs
版权属于：Ho1aAs
本文链接：https://ho1aas.blog.csdn.net/article/details/125430259
版权声明：本文为原创，转载时须注明出处及本声明 -
相关阅读:
2022年湖北省住建厅特种作业操作证怎么报考？甘建二
APP逆向基础（APK流程）
刷题笔记20——各种顺序的二叉树构造
为何ADC采样点在飘？
【ubuntu】在虚拟机中如何给ubuntu硬盘扩容
RocketMQ、Kafka、RabbitMQ 消费原理，顺序消费问题【图文理解】
linux--
虹科教您 | 基于CDE软件对PEAK CAN卡进行测试
【JVM】Java类的加载机制！
【微服务】Feign远程调用和异步调用请求头丢失问题
- 原文地址：https://blog.csdn.net/Xxy605/article/details/125430259