下載Log Parser

http://www.tjdsmy.cn/en-us/download/details.aspx?id=24659

Log Parser的日志可以通過SQL進行查詢。

1.sql字段

S表示String數(shù)組

調(diào)用格式：

EXTRACT_TOKEN(EventTypeName, 0, ' ') )

EventTypeName:字段名

0：順序，從0開始

“|”：分隔符

T：Time。時間類

I：intger。整數(shù)類

T和I二者都是直接調(diào)用：

SELECT TO_DATE(TimeGenerated), TO_UPPERCASE( EXTRACT_TOKEN(EventTypeName, 0, ' ') ), SourceName FROM System

TimeGenerated

2.字段解釋

RecordNumber：日志記錄編號從0開始

TimeGenerated：事件生成時間

TimeWritten：事件記錄時間

EventID：事件ID

EventType：事件類型

String：

各個位置含義：

0安全IP（SID）        1賬號名稱         2賬戶域         3登錄ID         4安全ID        5賬戶名         6賬戶域        7登錄ID        8登錄類型        9登錄進程        10身份驗證數(shù)據(jù)包         11網(wǎng)絡(luò)賬戶名稱        12賬號GUID        13網(wǎng)絡(luò)賬戶域        14數(shù)據(jù)包名        15密鑰長度         16進程ID        17進程路徑        18源網(wǎng)絡(luò)地址        19源端口        20模擬級別         21        22        23         24 虛擬賬戶        25         26 提升的令牌

EventLog：

各個位置含義：

0 文件絕對路徑 

EventTypeName：

各個位置含義：

0 審核成功/審核失敗

SourceName：來源

各個位置含義：

0：來源位置

eg：Microsoft-Windows-Security-Auditing

SID:查看結(jié)果為全空

Message：消息

各個位置含義：

0 The description for Event ID 4625 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote compute

Data：全空

ComputerName：計算機名稱

0 WIN-L5ST0VQ25FA  

計算機名稱

EventCategoryName

0 The name for category 12544 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer

主要字段為：TimeGenerated：事件生成時間         EventID：事件ID        EventType：事件類型        String：         EventLog        ComputerName：計算機名稱