Logparser - Sicherheitsprotokoll mit Ausnahmen

[wicksupport 10]

Hallo zusammen!

 

Wir nutzen den logparser, um die Events des Sicherheitsprotokolls verschiedener Server in eine Access Datenbank zu speichern. Auf dem Server ist bei der Systemüberwachungsrichtlinie das Dateisystem mit aktiviert, damit Änderungen in Netzlaufwerken nachvollzogen werden können. Das Problem ist nun, dass jeden Tag beim Backup einige tausend Einträge von \Device\Harddiskvolumeshadowcopy... protokolliert werden. Wie muss die Syntax genau heißen, um diese Einträge erst gar nicht mit in die Datenbank zu übertragen? Bei dem Feld handelt es sich um: Objekt

 

"\\server\freigabe$\logparser" -i:evt -o:sql -server:"servername" -dsn:"Log-Infos" -createTable:on "SELECT timegenerated, EXTRACT_TOKEN(Strings,1,'|') AS Benutzer, EXTRACT_TOKEN(Strings,6,'|') AS Objekt, EXTRACT_TOKEN(Strings,8,'|') AS Zugriffstyp INTO Dateisystem FROM \\server\security WHERE EventCategory=12800" -q:on

 

 

Gruß

 

Karl

[keremg 10]

Hallo zusammen!

 

Wir nutzen den logparser, um die Events des Sicherheitsprotokolls verschiedener Server in eine Access Datenbank zu speichern. Auf dem Server ist bei der Systemüberwachungsrichtlinie das Dateisystem mit aktiviert, damit Änderungen in Netzlaufwerken nachvollzogen werden können. Das Problem ist nun, dass jeden Tag beim Backup einige tausend Einträge von \Device\Harddiskvolumeshadowcopy... protokolliert werden. Wie muss die Syntax genau heißen, um diese Einträge erst gar nicht mit in die Datenbank zu übertragen? Bei dem Feld handelt es sich um: Objekt

 

"\\server\freigabe$\logparser" -i:evt -o:sql -server:"servername" -dsn:"Log-Infos" -createTable:on "SELECT timegenerated, EXTRACT_TOKEN(Strings,1,'|') AS Benutzer, EXTRACT_TOKEN(Strings,6,'|') AS Objekt, EXTRACT_TOKEN(Strings,8,'|') AS Zugriffstyp INTO Dateisystem FROM \\server\security WHERE EventCategory=12800" -q:on

 

 

Gruß

 

Karl

 

 

Hallo Karl,

 

ich habe überhauot keine Erfahrung mit dem logparser, aber die Syntax scheint SQL zu sein und mit Unterabfragen, kann man solche Sachen schön ausfiltern. Hier ein Beispiel in der Technet:

 

Unterabfragen mit NOT EXISTS

 

Grüße

 

K.