> Tech > Filtrage

Filtrage

Tech - Par iTPro - Publié le 24 juin 2010
email

Les journaux d’événements Windows enregistrent des masses d’informations, dont beaucoup reflètent tout bonnement le fonctionnement normal du système. Il est irréaliste de faire défiler des centaines de milliers d’enregistrements pour trouver quelques événements intéressants. C’est pourquoi PsLogList inclut plusieurs options de filtrage qui limitent la sortie aux seuls événements pertinents.

L’argument -f prend une chaîne de lettres représentant la lettre de départ des types d’événements que vous voulez que PsLogList transfère. Par exemple, pour ne voir que les erreurs et les avertissements, utilisez une commande du genre

psloglist -f ew

Parfois, seules certaines sources d’événement vous intéresseront, ou vous voudrez omettre des sources de la sortie. L’option -o permet de spécifier les sources d’événements à inclure ; l’argument -q permet de spécifier les sources d’événements à omettre. Les deux options acceptent des noms de sources d’événements entre guillemets et autorisent des noms de sources multiples, séparés par des virgules. La syntaxe suivante transfèrera les enregistrements des journaux d’événements générés par les sources Windows Update Agent et NtServicePack :

psloglist -o "windows update agent","ntservicepack"

D’autres options de filtrage d’événements vous permettent de limiter la sortie aux enregistrements qui ont certains ID ou d’exclure des ID spécifiques. L’option -i limite les enregistrements imprimés à ceux qui correspondent à jusqu’à 10 ID d’événements (séparés par des virgules) et l’option -e exclut les enregistrements qui correspondent à jusqu’à 10 ID d’événements (à nouveau, séparés par des virgules).

De nombreux administrateurs système utilisent PsLogList dans leurs scripts quotidiens pour obtenir les événements du jour précédent. Ce genre de filtrage est l’oeuvre du commutateur –d, qui prend un nombre que PsLogList interprète comme l’âge, en jours, du plus vieil enregistrement à imprimer. Le commutateur -h fait de même, mais en heures. Et, si l’on veut les enregistrements inclus dans un intervalle de dates particulier, on utilise le commutateur -a pour indiquer la date de début et le commutateur -b pour indiquer la date de fin (le format de date étant jj/mm/aa).

Le commutateur -w constitue une autre option de filtrage. Il ordonne à PsLogList de transférer les enregistrements que vous avez spécifiés par d’autres options, d’attendre, puis de transférer de nouveaux enregistrements correspondant aux critères de filtrage, lorsque ces enregistrements se génèrent. Ce filtre est intéressant quand on veut configurer un autre script ou programme pour superviser la sortie de PsLogList, et répondre à la génération d’enregistrements d’événements en temps réel, avec des comportements programmés.

Téléchargez cette ressource

Guide de réponse aux incidents de cybersécurité

Guide de réponse aux incidents de cybersécurité

Le National Institute of Standards and Technology (NIST) propose un guide complet pour mettre en place un plan de réponse aux incidents de cybersécurité, nous en avons extrait et détaillé les points essentiels dans ce guide. Découvrez les 6 étapes clés d'un plan de réponse efficace aux incidents de cybersécurité.

Tech - Par iTPro - Publié le 24 juin 2010

A lire aussi sur le site

Revue Smart DSI

La Revue du Décideur IT