Share via

about_Eventlogs

  • Artykuł

Krótki opis

W tym artykule opisano, jak program PowerShell rejestruje zdarzenia w dzienniku zdarzeń systemu Windows.

Długi opis

Program Windows PowerShell tworzy dziennik zdarzeń systemu Windows o nazwie "Windows PowerShell" do rejestrowania zdarzeń programu Windows PowerShell. Możesz wyświetlić ten dziennik w Podgląd zdarzeń lub za pomocą poleceń cmdlet, które pobierają zdarzenia, takie jak Get-EventLog polecenie cmdlet. Domyślnie aparat programu Windows PowerShell i zdarzenia dostawcy są rejestrowane w dzienniku zdarzeń, ale można użyć zmiennych preferencji dziennika zdarzeń, aby dostosować dziennik zdarzeń. Można na przykład dodawać zdarzenia dotyczące poleceń programu Windows PowerShell.

Dziennik zdarzeń programu Windows PowerShell rejestruje szczegółowe informacje o operacjach programu Windows PowerShell, takich jak uruchamianie i zatrzymywanie aparatu programu oraz uruchamianie i zatrzymywanie dostawców programu Windows PowerShell. Możesz również rejestrować szczegółowe informacje o poleceniach programu Windows PowerShell.

Wyświetlanie dziennika zdarzeń programu Windows PowerShell

Dziennik zdarzeń programu Windows PowerShell można wyświetlić w Podgląd zdarzeń lub za pomocą Get-EventLog poleceń cmdlet i Get-WmiObject . Aby wyświetlić zawartość dziennika programu Windows PowerShell, wpisz:

Get-EventLog -LogName "Windows PowerShell"

Aby zbadać zdarzenia i ich właściwości, użyj Sort-Object polecenia cmdlet, Group-Object polecenia cmdlet i poleceń cmdlet zawierających Format czasownik ( Format polecenia cmdlet).

Aby na przykład wyświetlić zdarzenia w dzienniku pogrupowane według identyfikatora zdarzenia, wpisz:

Get-EventLog "Windows PowerShell" | Format-Table -GroupBy EventID

Lub, wpisz:

Get-EventLog "Windows PowerShell" |
  Sort-Object EventID |
  Group-Object EventID

Aby wyświetlić wszystkie klasyczne dzienniki zdarzeń, wpisz:

Get-EventLog -List

Możesz również użyć Get-WmiObject polecenia cmdlet , aby użyć klas Instrumentacji zarządzania Windows (WMI) związanych z zdarzeniami w celu zbadania dziennika zdarzeń. Aby na przykład wyświetlić wszystkie właściwości pliku dziennika zdarzeń, wpisz:

Get-WmiObject Win32_NTEventlogFile |
  where LogFileName -EQ "Windows PowerShell" |
  Format-List -Property *

Aby znaleźć klasy WMI związane z zdarzeniami Win32, wpisz:

Get-WmiObject -List | where Name -Like "win32*event*"

Aby uzyskać więcej informacji, zobacz Get-EventLog i Get-WmiObject.

Wybieranie zdarzeń dla dziennika zdarzeń programu Windows PowerShell

Zmienne preferencji dziennika zdarzeń umożliwiają określenie, które zdarzenia są rejestrowane w dzienniku zdarzeń programu Windows PowerShell.

Istnieją sześć zmiennych preferencji dziennika zdarzeń; dwie zmienne dla każdego z trzech składników rejestrowania: aparat (program programu Windows PowerShell), dostawcy i polecenia. Zmienne LifeCycleEvent rejestrują normalne zdarzenia uruchamiania i zatrzymywania. Zmienne kondycji rejestrują zdarzenia błędów.

W poniższej tabeli wymieniono zmienne preferencji dziennika zdarzeń.

Zmienna opis
$LogEngineLifeCycleEvent Rejestruje uruchamianie i zatrzymywanie programu PowerShell
$LogEngineHealthEvent Rejestruje błędy programu PowerShell
$LogProviderLifeCycleEvent Rejestruje uruchamianie i zatrzymywanie dostawców programu PowerShell
$LogProviderHealthEvent Rejestruje błędy dostawcy programu PowerShell
$LogCommandLifeCycleEvent Rejestruje uruchamianie i uzupełnianie poleceń
$LogCommandHealthEvent Błędy poleceń dzienników

(Aby uzyskać informacje o dostawcach programu Windows PowerShell, zobacz about_Providers).

Domyślnie są włączone tylko następujące typy zdarzeń:

  • $LogEngineLifeCycleEvent
  • $LogEngineHealthEvent
  • $LogProviderLifeCycleEvent
  • $LogProviderHealthEvent

Aby włączyć typ zdarzenia, ustaw zmienną preferencji dla tego typu zdarzenia na $truewartość . Aby na przykład włączyć zdarzenia cyklu życia poleceń, wpisz:

$LogCommandLifeCycleEvent

Lub, wpisz:

$LogCommandLifeCycleEvent = $true

Aby wyłączyć typ zdarzenia, ustaw zmienną preferencji dla tego typu zdarzenia na $falsewartość . Aby na przykład wyłączyć zdarzenia cyklu życia polecenia, wpisz:

$LogProviderLifeCycleEvent = $false

Można wyłączyć dowolne zdarzenie, z wyjątkiem zdarzeń, które wskazują, że aparat programu Windows PowerShell i dostawcy rdzeni zaczęli. Te zdarzenia są generowane przed uruchomieniem profilów programu Windows PowerShell i przed rozpoczęciem akceptowania poleceń przez program hosta.

Ustawienia zmiennych dotyczą tylko bieżącej sesji programu Windows PowerShell. Aby zastosować je do wszystkich sesji programu Windows PowerShell, dodaj je do profilu programu Windows PowerShell.

Rejestrowanie zdarzeń modułu

Począwszy od programu Windows PowerShell 3.0, można rejestrować zdarzenia wykonywania dla poleceń cmdlet i funkcji w modułach programu Windows PowerShell i przystawkach, ustawiając właściwość LogPipelineExecutionDetails modułów i przystawek na $truewartość . W programie Windows PowerShell 2.0 ta funkcja jest dostępna tylko dla przystawek.

Gdy wartość właściwości LogPipelineExecutionDetails to $true, program Windows PowerShell zapisuje polecenia cmdlet i zdarzenia wykonywania funkcji w sesji w dzienniku programu Windows PowerShell w Podgląd zdarzeń. Ustawienie jest skuteczne tylko w bieżącej sesji.

Aby włączyć rejestrowanie zdarzeń wykonywania poleceń cmdlet i funkcji w module, użyj następującej sekwencji poleceń.

Import-Module Microsoft.PowerShell.Archive
$m = Get-Module Microsoft.PowerShell.Archive
$m.LogPipelineExecutionDetails = $true

Aby włączyć rejestrowanie zdarzeń wykonywania poleceń cmdlet w przystawce, użyj następującej sekwencji poleceń.

$m = Get-PSSnapin Microsoft.PowerShell.Core
$m.LogPipelineExecutionDetails = $True

Aby wyłączyć rejestrowanie, użyj tej samej sekwencji poleceń, aby ustawić wartość właściwości na $false.

Możesz również użyć ustawienia Włącz zasady grupy rejestrowania modułów, aby włączyć i wyłączyć moduł i przystawkę rejestrowania. Wartość zasad zawiera listę nazw modułów i przystawek. Obsługiwane są symbole wieloznaczne.

Po ustawieniu opcji Włącz rejestrowanie modułu dla modułu wartość właściwości LogPipelineExecutionDetails modułu znajduje $true się we wszystkich sesjach i nie można jej zmienić.

Ustawienie zasad grupy "Włącz rejestrowanie modułu" znajduje się w następujących ścieżkach zasad grupy:

Computer Configuration\
  Administrative Templates\
    Windows Components\
     Windows PowerShell

User Configuration\
  Administrative Templates\
    Windows Components\
      Windows PowerShell

Zasady konfiguracji użytkownika mają pierwszeństwo przed zasadami konfiguracji komputera, a obie zasady przejmują preferencję nad wartością właściwości LogPipelineExecutionDetails modułów i przystawek.

Aby uzyskać więcej informacji na temat tego ustawienia zasad grupy, zobacz about_Group_Policy_Ustawienia.

Zabezpieczenia i inspekcja

Dziennik zdarzeń programu Windows PowerShell został zaprojektowany tak, aby wskazywał działanie i dostarczał szczegółowe informacje operacyjne dotyczące rozwiązywania problemów.

Jednak podobnie jak w przypadku większości dzienników zdarzeń aplikacji opartych na systemie Windows, dziennik zdarzeń programu Windows PowerShell nie jest przeznaczony do zabezpieczenia. Nie należy jej używać do przeprowadzania inspekcji zabezpieczeń ani rejestrowania poufnych lub zastrzeżonych informacji.

Dzienniki zdarzeń są przeznaczone do odczytywania i interpretowania przez użytkowników. Użytkownicy mogą odczytywać dane z dziennika i zapisywać je w dzienniku. Złośliwy użytkownik może odczytać dziennik zdarzeń na komputerze lokalnym lub zdalnym, zarejestrować fałszywe dane, a następnie uniemożliwić rejestrowanie ich działań.

Uwagi

Autorzy modułów mogą dodawać funkcje rejestrowania do swoich modułów. Aby uzyskać więcej informacji, zobacz Pisanie modułu programu Windows PowerShell.

Zobacz też