5
XML Suche Ereignisanzeige Windows Server
Hallo,
ich bin leider nicht fähig mir eine eigene Suche in der Windows Server Ereignisanzeige zu basteln.
Ich suche nach den Daten EreignisID 4634 und einem TargetUserName Vorname.Nachname
Bisher habe ich den folgenden Ansatz, allerdings nur nach dem TargetUserName.
Hier bekomme ich zwar den gewünschten Namen, aber nur für die EreignisID 4624, wobei diese ja gar nicht angegeben war? Die Daten scheinen nur aus den Daten "Neue Anmeldung" gezogen zu werden.
Dann habe ich nach diversen Suchen folgendes probiert, bekomme hier aber den Fehler "Die angegebene Abfrage ist ungültig"
Ich bekomme es also nicht hin und bitte um Unterstützung.
Vielen Dank!
Gruß, Tom
ich bin leider nicht fähig mir eine eigene Suche in der Windows Server Ereignisanzeige zu basteln.
Ich suche nach den Daten EreignisID 4634 und einem TargetUserName Vorname.Nachname
Bisher habe ich den folgenden Ansatz, allerdings nur nach dem TargetUserName.
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[EventData[Data[@Name='TargetUserName'] and (Data='Vorname.Nachname')]]
</Select>
</Query>
</QueryList>Hier bekomme ich zwar den gewünschten Namen, aber nur für die EreignisID 4624, wobei diese ja gar nicht angegeben war? Die Daten scheinen nur aus den Daten "Neue Anmeldung" gezogen zu werden.
Dann habe ich nach diversen Suchen folgendes probiert, bekomme hier aber den Fehler "Die angegebene Abfrage ist ungültig"
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[System[(EventID=4634)] and Data[@Name = 'TargetUserName'] = 'Vorname.Nachname')]]
</Select>
</Query>
</QueryList>Ich bekomme es also nicht hin und bitte um Unterstützung.
Vielen Dank!
Gruß, Tom
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 12123817465
Url: https://administrator.de/contentid/12123817465
Printed on: May 1, 2024 at 14:05 o'clock
5 Comments
Latest comment
Moin.
Du hast den
XPath Syntax
Gruß
Du hast den
EventData Knoten unterschlagen und eine Klammer zu viel<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[EventID=4634] and EventData[Data[@Name='TargetUserName'] = 'Vorname.Nachname']]</Select>
</Query>
</QueryList>Gruß
Hallo,
vielen Dank das funktioniert.
Wenn ich jetzt jedoch mal zum besseren Verständnis die ID rausnehmen will, würde ich das ja jetzt so verstehen. Hier erhalte ich aber wieder meinen Fehler "Die angegebene Abfrage ist ungültig"
Wo ist hier mein Fehler?
vielen Dank das funktioniert.
Wenn ich jetzt jedoch mal zum besseren Verständnis die ID rausnehmen will, würde ich das ja jetzt so verstehen. Hier erhalte ich aber wieder meinen Fehler "Die angegebene Abfrage ist ungültig"
Wo ist hier mein Fehler?
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">* EventData[Data[@Name='TargetUserName'] = 'Vorname.Nachname']]</Select>
</Query>
</QueryList>Wo ist hier mein Fehler?
Eckige Klammer am Anfang vor "EventData" fehlt, einfach mal die Anzahl der einleitenden und schließenden Klammern zählen dann fällt es auch dir auf ...Kaffee hol ☕.
Das hatte ich übersehen. Vielen Dank und lass Dir den Kaffee schmecken!
Tutto bene, grazie!
