about_Eventlogs
Krótki opis
W tym artykule opisano, jak program PowerShell rejestruje zdarzenia w dzienniku zdarzeń systemu Windows.
Długi opis
Program Windows PowerShell tworzy dziennik zdarzeń systemu Windows o nazwie "Windows PowerShell" do rejestrowania zdarzeń programu Windows PowerShell. Możesz wyświetlić ten dziennik w Podgląd zdarzeń lub za pomocą poleceń cmdlet, które pobierają zdarzenia, takie jak Get-EventLog polecenie cmdlet.
Domyślnie aparat programu Windows PowerShell i zdarzenia dostawcy są rejestrowane w dzienniku zdarzeń, ale można użyć zmiennych preferencji dziennika zdarzeń, aby dostosować dziennik zdarzeń. Można na przykład dodawać zdarzenia dotyczące poleceń programu Windows PowerShell.
Dziennik zdarzeń programu Windows PowerShell rejestruje szczegółowe informacje o operacjach programu Windows PowerShell, takich jak uruchamianie i zatrzymywanie aparatu programu oraz uruchamianie i zatrzymywanie dostawców programu Windows PowerShell. Możesz również rejestrować szczegółowe informacje o poleceniach programu Windows PowerShell.
Wyświetlanie dziennika zdarzeń programu Windows PowerShell
Dziennik zdarzeń programu Windows PowerShell można wyświetlić w Podgląd zdarzeń lub za pomocą Get-EventLog poleceń cmdlet i Get-WmiObject . Aby wyświetlić zawartość dziennika programu Windows PowerShell, wpisz:
Get-EventLog -LogName "Windows PowerShell"
Aby zbadać zdarzenia i ich właściwości, użyj Sort-Object polecenia cmdlet, Group-Object polecenia cmdlet i poleceń cmdlet zawierających Format czasownik ( Format polecenia cmdlet).
Aby na przykład wyświetlić zdarzenia w dzienniku pogrupowane według identyfikatora zdarzenia, wpisz:
Get-EventLog "Windows PowerShell" | Format-Table -GroupBy EventID
Lub, wpisz:
Get-EventLog "Windows PowerShell" |
Sort-Object EventID |
Group-Object EventID
Aby wyświetlić wszystkie klasyczne dzienniki zdarzeń, wpisz:
Get-EventLog -List
Możesz również użyć Get-WmiObject polecenia cmdlet , aby użyć klas Instrumentacji zarządzania Windows (WMI) związanych z zdarzeniami w celu zbadania dziennika zdarzeń. Aby na przykład wyświetlić wszystkie właściwości pliku dziennika zdarzeń, wpisz:
Get-WmiObject Win32_NTEventlogFile |
where LogFileName -EQ "Windows PowerShell" |
Format-List -Property *
Aby znaleźć klasy WMI związane z zdarzeniami Win32, wpisz:
Get-WmiObject -List | where Name -Like "win32*event*"
Aby uzyskać więcej informacji, zobacz Get-EventLog i Get-WmiObject.
Wybieranie zdarzeń dla dziennika zdarzeń programu Windows PowerShell
Zmienne preferencji dziennika zdarzeń umożliwiają określenie, które zdarzenia są rejestrowane w dzienniku zdarzeń programu Windows PowerShell.
Istnieją sześć zmiennych preferencji dziennika zdarzeń; dwie zmienne dla każdego z trzech składników rejestrowania: aparat (program programu Windows PowerShell), dostawcy i polecenia. Zmienne LifeCycleEvent rejestrują normalne zdarzenia uruchamiania i zatrzymywania. Zmienne kondycji rejestrują zdarzenia błędów.
W poniższej tabeli wymieniono zmienne preferencji dziennika zdarzeń.
| Zmienna | opis |
|---|---|
$LogEngineLifeCycleEvent |
Rejestruje uruchamianie i zatrzymywanie programu PowerShell |
$LogEngineHealthEvent |
Rejestruje błędy programu PowerShell |
$LogProviderLifeCycleEvent |
Rejestruje uruchamianie i zatrzymywanie dostawców programu PowerShell |
$LogProviderHealthEvent |
Rejestruje błędy dostawcy programu PowerShell |
$LogCommandLifeCycleEvent |
Rejestruje uruchamianie i uzupełnianie poleceń |
$LogCommandHealthEvent |
Błędy poleceń dzienników |
(Aby uzyskać informacje o dostawcach programu Windows PowerShell, zobacz about_Providers).
Domyślnie są włączone tylko następujące typy zdarzeń:
$LogEngineLifeCycleEvent$LogEngineHealthEvent$LogProviderLifeCycleEvent$LogProviderHealthEvent
Aby włączyć typ zdarzenia, ustaw zmienną preferencji dla tego typu zdarzenia na $truewartość . Aby na przykład włączyć zdarzenia cyklu życia poleceń, wpisz:
$LogCommandLifeCycleEvent
Lub, wpisz:
$LogCommandLifeCycleEvent = $true
Aby wyłączyć typ zdarzenia, ustaw zmienną preferencji dla tego typu zdarzenia na $falsewartość . Aby na przykład wyłączyć zdarzenia cyklu życia polecenia, wpisz:
$LogProviderLifeCycleEvent = $false
Można wyłączyć dowolne zdarzenie, z wyjątkiem zdarzeń, które wskazują, że aparat programu Windows PowerShell i dostawcy rdzeni zaczęli. Te zdarzenia są generowane przed uruchomieniem profilów programu Windows PowerShell i przed rozpoczęciem akceptowania poleceń przez program hosta.
Ustawienia zmiennych dotyczą tylko bieżącej sesji programu Windows PowerShell. Aby zastosować je do wszystkich sesji programu Windows PowerShell, dodaj je do profilu programu Windows PowerShell.
Rejestrowanie zdarzeń modułu
Począwszy od programu Windows PowerShell 3.0, można rejestrować zdarzenia wykonywania dla poleceń cmdlet i funkcji w modułach programu Windows PowerShell i przystawkach, ustawiając właściwość LogPipelineExecutionDetails modułów i przystawek na $truewartość . W programie Windows PowerShell 2.0 ta funkcja jest dostępna tylko dla przystawek.
Gdy wartość właściwości LogPipelineExecutionDetails to $true, program Windows PowerShell zapisuje polecenia cmdlet i zdarzenia wykonywania funkcji w sesji w dzienniku programu Windows PowerShell w Podgląd zdarzeń. Ustawienie jest skuteczne tylko w bieżącej sesji.
Aby włączyć rejestrowanie zdarzeń wykonywania poleceń cmdlet i funkcji w module, użyj następującej sekwencji poleceń.
Import-Module Microsoft.PowerShell.Archive
$m = Get-Module Microsoft.PowerShell.Archive
$m.LogPipelineExecutionDetails = $true
Aby włączyć rejestrowanie zdarzeń wykonywania poleceń cmdlet w przystawce, użyj następującej sekwencji poleceń.
$m = Get-PSSnapin Microsoft.PowerShell.Core
$m.LogPipelineExecutionDetails = $True
Aby wyłączyć rejestrowanie, użyj tej samej sekwencji poleceń, aby ustawić wartość właściwości na $false.
Możesz również użyć ustawienia Włącz zasady grupy rejestrowania modułów, aby włączyć i wyłączyć moduł i przystawkę rejestrowania. Wartość zasad zawiera listę nazw modułów i przystawek. Obsługiwane są symbole wieloznaczne.
Po ustawieniu opcji Włącz rejestrowanie modułu dla modułu wartość właściwości LogPipelineExecutionDetails modułu znajduje $true się we wszystkich sesjach i nie można jej zmienić.
Ustawienie zasad grupy "Włącz rejestrowanie modułu" znajduje się w następujących ścieżkach zasad grupy:
Computer Configuration\
Administrative Templates\
Windows Components\
Windows PowerShell
User Configuration\
Administrative Templates\
Windows Components\
Windows PowerShell
Zasady konfiguracji użytkownika mają pierwszeństwo przed zasadami konfiguracji komputera, a obie zasady przejmują preferencję nad wartością właściwości LogPipelineExecutionDetails modułów i przystawek.
Aby uzyskać więcej informacji na temat tego ustawienia zasad grupy, zobacz about_Group_Policy_Ustawienia.
Zabezpieczenia i inspekcja
Dziennik zdarzeń programu Windows PowerShell został zaprojektowany tak, aby wskazywał działanie i dostarczał szczegółowe informacje operacyjne dotyczące rozwiązywania problemów.
Jednak podobnie jak w przypadku większości dzienników zdarzeń aplikacji opartych na systemie Windows, dziennik zdarzeń programu Windows PowerShell nie jest przeznaczony do zabezpieczenia. Nie należy jej używać do przeprowadzania inspekcji zabezpieczeń ani rejestrowania poufnych lub zastrzeżonych informacji.
Dzienniki zdarzeń są przeznaczone do odczytywania i interpretowania przez użytkowników. Użytkownicy mogą odczytywać dane z dziennika i zapisywać je w dzienniku. Złośliwy użytkownik może odczytać dziennik zdarzeń na komputerze lokalnym lub zdalnym, zarejestrować fałszywe dane, a następnie uniemożliwić rejestrowanie ich działań.
Uwagi
Autorzy modułów mogą dodawać funkcje rejestrowania do swoich modułów. Aby uzyskać więcej informacji, zobacz Pisanie modułu programu Windows PowerShell.
