| 用途 | 重建登录来源与渠道 |
|---|---|
| 字段 | TargetUserName / LogonType / IpAddress / LogonProcessName |
检索
检索
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 50 |
ForEach-Object { $x=[xml]$_.ToXml(); [pscustomobject]@{t=$_.TimeCreated; u=$x.Event.EventData.Data[5].'#text'; type=$x.Event.EventData.Data[8].'#text'; ip=$x.Event.EventData.Data[18].'#text'} }空 IP 或短横线的登录多为本地/系统会话，先归类再筛查。