bash 网络安全运维

106

｜

第

8

章

8.2 监控 Windows 日志

如前所述，你需要使用 wevtutil 命令来访问 Windows 事件。尽管该命令是通用的，

但它没有类似 tail 的功能，tail 可以在新条目出现时提取它们。幸运的是，一个简

单的 bash 脚本可以提供类似的功能，见例 8-2。

例 8-2：

wintail.sh

#!/bin/bash -

#

# Cybersecurity Ops with bash

# wintail.sh

#

# Description:

# Perform a tail-like function on a Windows log

#

# Usage: ./wintail.sh

#

WINLOG="Application"

❶

LASTLOG=$(wevtutil qe "$WINLOG" //c:1 //rd:true //f:text)

❷

while true

do

CURRENTLOG=$(wevtutil qe "$WINLOG" //c:1 //rd:true //f:text)

❸

if [[ "$CURRENTLOG" != "$LASTLOG" ]]

then

echo "$CURRENTLOG"

echo "----------------------------------"

LASTLOG="$CURRENTLOG"

fi

done

❶

此变量标识要

监控

的 Windows 日志。你可以使用 wevtutil el 获取系统上当前

可用的日志列表。

❷

这将执行 ...