EventLog Auswertung

[MrGenovese 10]

Hallo Community,

 

ich beschäftige mich nun seit mehr als 2 Tagen damit, das Event Log zu bearbeiten. Sinn bei der Sache ist es, einen best. Zeitraum anzeigen zu lassen. Über den EventViewer ist das ja kein Problem, sich eine benutzerdef. Ansicht zu gestalten, jedoch möchte ich diese über eine Batch oder gar direkt über ein Script abfragen. Gespielt habe ich nun mit "wevtutil", jedoch fehlen mir hierzu noch ein paar Infos, welche von Euch erhoffe.

 

Es gibt den Tag "/Q" mit dem Queries abgefragt werden können. Jedoch egal, wie ich den Zeitraum abfrage, er erstellt mir nur eine 0kb große *.evtx Datei. Wenn ich jetzt im Eventviewer die benutzerdef. Ansicht als Beispiel im CMD Prompt umsetze, bleibt es dabei. Hat jemand zufällig hiervon Ahnung? Momentan kann ich nur das gesamte LOG exportieren, jedoch ist die Datenmenge imens. Ich brauch lediglich für einen Monat eine Auswertung.

 

Ich hoffe auf Euch.

 

Danke

[d.stegemann 10]

Hallo MrGenovese,

 

ich denke der Logparser sollte eigentlich alle deine Wünsche befriedigen können...

 

ScriptCenter Tools: Log Parser 2.2

 

Gruß

 

Dirk

[olc 18]

Hi MrGenovese und willkommen "on Board", :)

 

da Du wevtutil verwendest vermute ich, daß Du von Vista / 2008 Maschinen sprichst?

 

Was genau möchtest Du mit dem Export erreichen, d.h. soll es remote und für viele Rechner erfolgen, soll nur ein bestimmtes Event exportiert werden etc.? Beschreib doch einmal, was Dein Plan ist. :)

 

Hintergrund für die Frage ist, daß es unglaublich viele Möglichkeiten und auch Programme gibt, Eventlogs abzufragen (eine davon ist der o.g. LogParser) - und je nach genauem Vorhaben ist entweder die eine oder die andere Lösung besser geeignet.

 

Viele Grüße

olc

[grutsch 10]

Hi MrGenovese,

 

ich habe auch schon häufiger solche Auswertungen benötigt, ich habe immer Dumpel aus dem Ressource-Kit benutzt:

 

Dump Event Log (dumpel.exe): Dump Event Log ist ein Befehlszeile-Programm, das in einer tabstoppgetrennte Textdatei ein Ereignisprotokoll für ein lokales System oder ein Remotesystem ausgibt. Dieses Tool kann auch zu dem Filtern oder dem Herausfiltern für bestimmte Ereignistypen verwandt werden. Klicken Sie auf die folgende Verknüpfung, um dieses Tool herunterzuladen:

http://download.microsoft.com/download/win2000platform/webpacks/1.00.0.1/nt5/en-us/dumpel.exe'>http://download.microsoft.com/download/win2000platform/WebPacks/1.00.0.1/NT5/EN-US/Dumpel.exe (http://download.microsoft.com/download/win2000platform/webpacks/1.00.0.1/nt5/en-us/dumpel.exe)

[blub 115]

Hallo,

Bei der Auswertung grösserer Eventlogs bzw. der Auswertung von mehreren Remotrechnern sollte man darauf achten, moderne Tools auf Basis von .net zu verwenden. z.B. den erwähnten Logparser oder eine moderne Sprache wie Powershell, VisualBasic.NET . Die dort verwendete Klasse [system.Diagnostics.EventLogEntry] ist deutlich performanter und ressourcenschonender als die in den Asbach-Tools wie dumpel oder eventcomp, die, wie ich vermute, die WMI-Klasse [Win32_NTLogEvent] nutzen.

Eine Auswertung mit einem win32_ntlogevent VBSkript des Securitylogs auf einem DC trieb dort die Prozessorlast über 30 Minuten auf 100% hoch, mit logparser/ powershell wars in 2 Minuten vorbei und die Prozessorlast stieg um ca. 15% an. Die Powershell cmdlets "get-event" und "get-eventlog" sind sehr comfortabel zu skripten

 

cu

blub