下載Log Parser

http://www.tjdsmy.cn/en-us/download/details.aspx?id=24659

Log Parser的日志可以通過(guò)SQL進(jìn)行查詢。

1.sql字段

S表示String數(shù)組

調(diào)用格式：

EXTRACT_TOKEN(EventTypeName, 0, ' ') )

EventTypeName:字段名

0：順序，從0開(kāi)始

“|”：分隔符

T：Time。時(shí)間類

I：intger。整數(shù)類

T和I二者都是直接調(diào)用：

SELECT TO_DATE(TimeGenerated), TO_UPPERCASE( EXTRACT_TOKEN(EventTypeName, 0, ' ') ), SourceName FROM System

TimeGenerated

2.字段解釋

RecordNumber：日志記錄編號(hào)從0開(kāi)始

TimeGenerated：事件生成時(shí)間

TimeWritten：事件記錄時(shí)間

EventID：事件ID

EventType：事件類型

String：

各個(gè)位置含義：

0安全I(xiàn)P（SID）        1賬號(hào)名稱         2賬戶域         3登錄ID         4安全I(xiàn)D        5賬戶名         6賬戶域        7登錄ID        8登錄類型        9登錄進(jìn)程        10身份驗(yàn)證數(shù)據(jù)包         11網(wǎng)絡(luò)賬戶名稱        12賬號(hào)GUID        13網(wǎng)絡(luò)賬戶域        14數(shù)據(jù)包名        15密鑰長(zhǎng)度         16進(jìn)程ID        17進(jìn)程路徑        18源網(wǎng)絡(luò)地址        19源端口        20模擬級(jí)別         21        22        23         24 虛擬賬戶        25         26 提升的令牌

EventLog：

各個(gè)位置含義：

0 文件絕對(duì)路徑 

EventTypeName：

各個(gè)位置含義：

0 審核成功/審核失敗

SourceName：來(lái)源

各個(gè)位置含義：

0：來(lái)源位置

eg：Microsoft-Windows-Security-Auditing

SID:查看結(jié)果為全空

Message：消息

各個(gè)位置含義：

0 The description for Event ID 4625 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote compute

Data：全空

ComputerName：計(jì)算機(jī)名稱

0 WIN-L5ST0VQ25FA  

計(jì)算機(jī)名稱

EventCategoryName

0 The name for category 12544 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer

主要字段為：TimeGenerated：事件生成時(shí)間         EventID：事件ID        EventType：事件類型        String：         EventLog        ComputerName：計(jì)算機(jī)名稱