web-dev-qa-db-ja.com

イベントログ>現在のログのフィルター> XML> EventDataにテキストが含まれる

より長いエラーメッセージの一部として、イベントデータに文字列TCP Provider、error：が含まれているものがないか、Windowsイベントログを検索しようとしています。これを行うために、以下のコードを作成しました。

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[Provider[@Name='MyDemo' or @Name='AnotherDemo'] and (Level=2 or Level=3)]][EventData[Data[contains(.,'TCP Provider, error: 0')]]]</Select>
  </Query>
</QueryList>

ただし、これは無効なクエリと見なされます-（ここでは、XPath構文の特別なバージョンが使用されているように見えるため、containsステートメントが認識されていないと思います。これをやってみますか？

前もって感謝します、

JB

windows-event-logqueryxmleventviewer
3
JohnLBevan

常にPowerShellスクリプトを使用し、XMLをPowerShellのwhere関数（-contains -like -matchをサポート）に渡すことができます。

nv.ps1

$Query = @"
  <QueryList>
    <Query Id="0" Path="System">
      <Select Path="System">
        *[System[(EventID=20001)]]
      </Select>
    </Query>
  </QueryList>
"@

$events = Get-WinEvent -FilterXml $Query
ForEach ($Event in $Events) {
    # Convert the event to XML
    $eventXML = [xml]$Event.ToXml()
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  DriverVersion -Value $eventXML.Event.UserData.InstallDeviceID.DriverVersion
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  DriverDescription -Value $eventXML.Event.UserData.InstallDeviceID.DriverDescription
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name  Data -Value $eventXML.Event.EventData.Data
}
$Events | Select TimeCreated, Id, DriverDescription, DriverVersion, ProviderName, @{Name="MessageData";Expression={$_.Message + $_.Data}} | Where {$_.DriverDescription -match "NVIDIA GeForce GTX*"} | Out-GridView
pause

それを起動するコマンド（nv.cmd）：

powershell.exe -executionpolicy bypass "& '.\nv.ps1'"
3
Richard Sandoz

さらなる調査で、スタックオーバーフローでこれに対する答えを見つけました： https://stackoverflow.com/questions/8671194/using-xpath-starts-with-or-contains-functions-to-search-windows-イベントログ

そのため、イベントログでワイルドカード検索を実行できないようです。

3
JohnLBevan

PowerShellで：

get-winevent @{logname='application';providername='mydemo','anotherdemo';level=2,3} | 
  where { [xml]$xml = $_.toxml() 
  $xml.event.eventdata.data -match 'TCP Provider, error: 0' }

文字列全体が一致した場合、これは次のように減らすことができます。

get-winevent @{logname='application';providername='mydemo','anotherdemo';level=2,3; 
  data='TCP Provider, error: 0'}
0
js2010