用powershell替換圈套，推事件日誌

有沒有辦法使用powershell將事件日誌推送到SIEM？我有這個我們可以'GET'事件日誌，但我們正在尋找'無代理'的方式將日誌推送到ElasticStack/Arcsight SIEM。用powershell替換圈套，推事件日誌

我們有這樣的，我們可以「獲取」事件日誌 -

#$cred = Get-Credential 
#$events = Get-WinEvent -Computer localhost -Credential $cred -FilterHashtable @{logname="Security"; id=4688} -MaxEvents 25 
$events = Get-WinEvent -Computer localhost -FilterHashtable @{logname="Security"; id=4688} -MaxEvents 20 
#$eventXML = [xml]$events[0].ToXml() # This was for Testing 
#$eventXML.Event.EventData.Data  # This was for Testing 
$outputcol = @() 
ForEach ($Event in $Events) { 
$eventXML = [xml]$Event.ToXml() 
if ($eventXML.Event.EventData.Data[8].'#text' -like "*") { 
    $output = New-Object PSobject 
    $output | Add-Member -MemberType NoteProperty -Name Time -value $Event.TimeCreated 
    $output | Add-Member -MemberType NoteProperty -Name Event -value $Event.ID 
    $output | Add-Member -MemberType NoteProperty -Name Computer -Value $Event.MachineName 
    #$output | Add-Member -MemberType NoteProperty -Name Computer $eventXML.Event.EventData.Data[1].'#text' #Computer 
    $output | Add-Member -MemberType NoteProperty -Name Command $eventXML.Event.EventData.Data[8].'#text' #CommandLine 
    $outputcol += $output 
} 
} 
$outputcol | Format-table -auto | Tee-Object "C:\Users\eventlogs.txt"

但是，有沒有辦法通過AD或WMI設置呢？我們正試圖避免在工作站上安裝另一個代理。

謝謝！

來源

2017-03-10 Dirk Pitt

OK不想離開這個空白或萬一別人來尋找刪除...看起來這是可能的 - 從Spiceworks還在感謝後大衛驗證

兩個GPO中會得到你完成了，兒子！爲了匯入$ 3rdparty_SIEM，我爲App創建了一個訂閱到本地應用程序日誌，Sys創建了本地Sys日誌，並且創建了轉發事件，因爲... Windows ?.然後爲收集者和源代碼創建一個GPO，它們都定義並啓用Windows事件日誌收集器服務（不要說！），然後是IP篩選器，並將網絡服務添加到受限制的組以便獲取Sec日誌。夠簡單！

...如果我再發現或陷入困境，我會在這裏發佈。

來源

2017-03-11 18:38:39

用powershell替換圈套，推事件日誌

回答

相關問題