使用DOC命令采集windows日志信息
2018-08-16 本文已影响0人
东方欲晓_莫道君行早
有时项目中可能会用到一些日志的配置信息。本文简单介绍一下安全日志的相关信息获取。
首先，需要获取日志类别，用来进行之后本类别的日志详细信息查询：
wevtutil el
其中security即为安全日志类别
wevtutil 命令参数如下
| 命令 | 意义 | 注释 |
|---|---|---|
| el | enum-logs | 列出日志名称 |
| gl | get-log | 获取日志配置信息 |
| sl | set-log | 修改日志配置 |
| ep | enum-publishers | 列出事件发布者 |
| gp | get-publisher | 获取发布者配置信息 |
| im | install-manifest | 从清单中安装事件发布者和日志 |
| um | uninstall-manifest | 从清单中卸载事件发布者和日志 |
| qe | query-events | 从日志或日志文件中查询事件 |
| gli | get-log-info | 获取日志状态信息 |
| epl | export-log | 导出日志 |
| al | archive-log | 存档导出的日志 |
| cl | clear-log | 清除日志 |
导出 安全 日志的命令为：
wevtutil epl security d:\security.evtx
该命令将安全日志信息导出到d盘下的security.evtx文件
查询 安全 日志的配置信息命令如下：
wevtutil gl security
结果（包含但不是全部） 属性如下：
-name ------ 日志类别
enabled ------ 是否禁用
logging:
logFileName ------ 日志文件保存路径
retention ------ 是否保留
autoBackup ------是否自动备份
maxSize ------ 本类别日志最大容量
windows上面覆盖方式有三种：
按需要覆盖------ retention:false;autoBackup:false
满时存档，不覆盖------ retention:true;autoBackup:true
不覆盖，手动清除------ retention:true;autoBackup:false
