פקודת Get-WinEvent
חלק 3 - XML
[xml]$XML = $_ כדי להפוך את השורה הנוכחית לאובייקט XML. בתוך $XML.Event יש שני תת-מאפיינים: System (השדות הבסיסיים) ו-EventData (השדות הייחודיים לאירוע, בתוך Data).Get-WinEvent ... | ForEach-Object { ... } (אפשר לקצר ל-%) עובר על כל אירוע בנפרד ומבצע עליו את ההמרה ל-XML.$EventData.Data מסננים עם Where-Object את השורה שבעמודת Name שלה מופיע השם המבוקש (למשל Destination IP), ובוחרים ממנה את עמודת #text עם Select-Object.ForEach-Object בונים אובייקט חדש עם מאפיינים כמו Source IP, Destination IP, Process GUID ו-Process ID, כל אחד נשלף באותה שיטה.Where-Object חיצונית שמסננת רק לפי Destination IP מבוקש.Format-Table מחזיר אותו לתצוגת עמודות.פרקי ההרצאה: פקודת Get-WinEvent חלק 3 - XML
תמלול ההרצאה: פקודת Get-WinEvent חלק 3 - XML
הטקסט המלא של הדקות הראשונות בהרצאה «פקודת Get-WinEvent חלק 3 - XML» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים להרצאה על PowerShell ואנחנו נעשה דוגמה על Event Viewer ודרכה אתם תלמדו PowerShell לעומק. אז קודם כל נשלוף את כל האירועים שקשורים לתקשורת מתוך יומן האירועים הנוכחי של Windows.
דרך אגב, זה נמצא פה בממשק הגרפי Right Click Event Viewer זה אותו דבר גם ב-Windows אחד עשרה גם ב-Windows עשר. והאמת זה לא השתנה כבר מעל עשר שנים. גם ב-Windows שבע זה היה נראה אותו דבר.
אנחנו מחפשים פה יומן של Sysmon ובתוך היומן הזה אנחנו יכולים לראות את כל האירועים. ושימו לב שיש פה הרבה אירועים. גם אירוע אחד, גם אירוע עשרים ושתיים, גם אירוע מספר שלוש עשרה.
לדוגמה אירוע מספר שלוש עשרה זה שינוי ערך ב-Registry. אירוע מספר אחד זה הפעלת תוכנה חדשה. אירוע מספר חמש סגירה של תוכנה. אירוע מספר עשרים ושתיים שאילת ה-DNS.
אנחנו כרגע מחפשים בתוך היומן הזה אירוע מספר שלוש בלבד שקשור לתקשורת, אבל אנחנו לא עושים את זה בממשק הגרפי. אנחנו מתחברים ליומן הזה דרך PowerShell, דרך שורת פקודה.
אז בואו נשלוף. אנחנו שלפנו את כל האירועים ויש לנו עבור כל אירוע שורה. עכשיו אנחנו מעבירים את כל הפלט הזה דרך pipe לפקודה הבאה לביצוע והפקודה הבאה לביצוע תהיה For Each Object שרצה על כל שורה בנפרד.
בואו נגיד לה שרק תציג לי כל שורה ובתוך השורה שהיא מציגה לי אני רוצה רק את העמודה של נניח של תאריך ושעה. זה כרגע מה שמעניין אותי. שימו לב זה מייצג לי שורה נוכחית.
הוא רץ שורה שורה וזאת שורה נוכחית. תכף נסבך אותו, ניתן לו לעשות דברים הרבה יותר מורכבים. כרגע אני רק רוצה שתבינו שדולר וקו תחתון מסמן לי שורה נוכחית ואני אומר לו בתוך כל שורה תציג לי איזשהו מאפיין.
כל שורה זה אובייקט ובתוך אובייקט יש מאפיין ויש מאפיין Time Created. דרך אגב, איך אני יודע איזה מאפיינים יש? אני יכול להגיד לו להציג לי קודם כל Max Events אחד שיציג לי רק אירוע אחד.
לא צריך את כולם ועבור כל שורה שלא ידפיס לי איזשהו מאפיין ספציפי, ייקח את כל השורה ויעביר את זה לפורמט List. תצוגה ברשימה ולא בטבלה עם כוכבית עם כל השדות.
זאת אומרת הוא הולך לקחת אובייקט אחד Event אחד, אירוע אחד ולהעביר אותו לפקודת For Each Object שעוברת על השורה האחת הזאת שיש ומציגה לי את כל השדות. ככה אני לומד דרך פורמט List כוכבית איזה שדות יש ואני רואה פה שבאירוע הזה יש קודם כל תצוגה של שורות, כי אמרתי לו פורמט List ולא פורמט Table לא עמודות כי אין מספיק רוחב במסך אז מנצלים את הגובה ואנחנו רואים שדה ראשון, קוראים לו Message שדה שני
קוראים לו ID. לכל שדה יש שם ויש לו ערך ואני יכול לסנן לפי הערכים האלו. נניח שהייתי רוצה לסנן לפי Record ID או הייתי רוצה להציג רק Machine Name הייתי יכול לעשות את זה.
זאת אומרת שאני יכול לקחת את כל השורות. נניח ניתן לו עשר שיציג לי עשר שורות, ועבור כל שורה אני אומר לו להציג לי Machine Name זה מה שמעניין אותי. ושימו לב, הנה הוא מציג לי על איזה מכונה קרו האירועים האלו.
עכשיו תגידו זה מצוין. מה רע לך? נכון שזה מצוין שהוא מפרק לי את השורה לשדות נפרדים ומציג לי אותם ככה תסתכלו איזה יופי. אבל בשדה של message שהוא הכי חשוב מבחינתי יש לו סלט.
הוא מציג לי את כל המסג הזה כשדה אחד ארוך. זה נתונים של שדה אחד בלבד של האירוע הראשון, והוא לא יודע לפרק אותם לתתי שדות לחלקים קטנים יותר. תסתכלו.
נניח שהייתי רוצה Destination IP. מבחינתו כל זה טקסט אחד ארוך. עוד פעם לקחתי Event אחד ואמרתי לו תציג לי message והוא מציג לי את הכל ביחד. אם אני אנסה עכשיו להגיד לו נקודה Destination IP הוא לא ידע להציג לי אותו.
אתם רואים? הוא מציג לי אותו ריק. זאת אומרת שהוא לא יודע לקחת את המסג ולפרק אותו למאפיינים של האובייקט ואני לא יכול לעבוד עם זה.
בגלל הסיפור הזה אני צריך להפוך את האובייקט שלי ל-XML ואז XML כבר יודע לפרק את זה. אם לא היה לי את השדה של המסג, אם הכל היה לי רשום בצורה כזאת כמו פה Log Name, Process ID, Machine Name כל אחד מהשדות האלו איתם אני יודע לעבוד.
זה PowerShell עשה לי. רק את המסג הוא לא יודע לחלק. דרך אגב, למה הוא לא יודע לחלק את המסג? בגלל שהמסג משתנה מאירוע לאירוע. זה אירוע של תקשורת, אז יש לו message מסוים.
יש אירועים של פרוססים, יש להם message אחר. השדות המשותפים האלו הוא יודע להבין אותם, אבל את השדות הייחודיים לאירוע מסוים הוא כבר לא יודע לפרק. אז אני מפעיל פונקציה ידנית שמפרקת אותם, שזה נקרא XML.
המטרה הסופית שלי זה לבודד שדה של Destination IP. אז הבנו שיש שדות שהם ייחודיים לאירוע מסוים, לסוג מסוים של אירועים. יש שדות שהם זהים ובסיסיים לכל סוגי האירועים.
את השדות הבסיסיים הוא יודע לחלק למאפיינים של אובייקט. הוא יודע לתת לי לגשת לכל אחד בנפרד. השדות הייחודיים מבחינתו זה טקסט אחד גדול. זה ההיגיון מאחורי כל הסיפור הזה שאני נאלץ עכשיו לקחת שורה נוכחית.
אתם רואים דולר נקודה. להפוך אותה ל-XML. אני גם שומר אותה במשתנה שנקרא XML וזה Format. זה אומר שאני עושה לה שינוי צורה לצורה של XML.
בעולם של תכנות זה נקרא Casting. להפוך את זה לצורת XML. לא רק לקרוא לזה XML גם לתת לזה צורה של XML. ברגע שאני עושה את זה אני יכול לטייל בכל השדות בפנים וזה פותר לי את הבעיה.
בואו נראה. אני עושה Get Windows Events שולף את כל האירועים. פה הם יורדים שורה אז יש צ'ופצ'יק. אפשר לא לרדת שורה ולא לשים צ'ופצ'יק.
עבור כל שורה הם מ-מכריזים על משתנה שקוראים לו XML ושומרים פנימה את השורה הנוכחית עם XML. אני רוצה להראות לכם איך זה נראה בסוף. בסוף, בסוף יש לי בזיכרון משתנה שקוראים לו XML.
אם אני אעשה Enter אני אראה מה שיש בפנים.