PowerShell Export Remote PC Event Event Logs su PC locale.
1. Open Powershell ISE with an account that has local admin access to remote PCs.
NOTA: Devi anche avere il Strumenti di Sysinternals installato ed essere in grado di chiamare psloglist con un riferimento precedente al suo percorso predefinito:
Set-alias psloglist c:\Windows System32 PslogList.exe
2. La funzione richiede remoto Registri degli eventi di sistema;
Sostituire il Remoto-pcname con il Netbios Nome del PC a cui si desidera connettere ed estrarre i registri da. IL “Inizia Blocco note” command should then open the log file on your PC to review. Anche, È possibile modificare l'ultima stringa o addirittura eliminarla se si utilizza un altro strumento per i registri. (come esempio Cmtrace or Notepad ++)
function GetSysEventLogs
{
$currDate = get-date -format MMddyyyy
$getDayDuration = Read-Host "Please enter the number of days of logs to extract"
psloglist \\REMOTE-PCNAME -d $getDayDuration -s system > c:\logs\REMOTE-PCNAME-sysevtlogs-$currDate.txt
Write-Host "Event logs saved to c:\logs\REMOTE-PCNAME-sysevtlogs-$currDate.txt"
start notepad c:\logs\REMOTE-PCNAME-sysevtlogs-$currDate.txt
}3. La funzione richiede remoto Registri degli eventi dell'applicazione;
function GetAppEventLogs
{
$currDate = get-date -format MMddyyyy
$getDayDuration = Read-Host "Please enter the number of days of logs to extract"
psloglist \\REMOTE-PCNAME -d $getDayDuration -s application > c:\logs\REMOTE-PCNAME-appevtlogs-$currDate.txt
Write-Host "Event logs saved to c:\logs\REMOTE-PCNAME-appevtlogs-$currDate.txt"
start notepad c:\logs\REMOTE-PCNAME-appevtlogs-$currDate.txt
}4. La funzione richiede remoto Registri degli eventi di sicurezza;
function GetSecEventLogs
{
$currDate = get-date -format MMddyyyy
$getDayDuration = Read-Host "Please enter the number of days of logs to extract"
psloglist \\REMOTE-PCNAME -d $getDayDuration -s security > c:\logs\REMOTE-PCNAME-secevtlogs-$currDate.txt
Write-Host "Event logs saved to c:\logs\REMOTE-PCNAME-secevtlogs-$currDate.txt"
start notepad c:\logs\REMOTE-PCNAME-secevtlogs-$currDate.txt
}Passi che fa questo script:
1) Ti chiedi per quanti giorni di tronchi vuoi estrarre
2) Collegarsi alla macchina remota
3) Export the specific log to a *.TXT file
4) Copy the log back to your computer into c:\registri
5) Apri il file in blocco note
