Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

240 Kapitel 8: Überwachung
Abbildung 8.14 Bearbeiten des XPATH-Filterausdrucks in der Ereignisanzeige
XPATH für Anfänger
Sie brauchen kein XPATH-Experte zu sein, um die Registerkarte XML im Filterdialogfeld
der Ereignisanzeige zu nutzen. Normalerweise finden Sie am einfachsten einen Einstieg,
wenn Sie folgendermaßen vorgehen:
1. Geben Sie ein Ereignis, das Sie interessiert, im XML-Format aus, sodass sie seine
Datenfeldfelder sehen können.
2. Stellen Sie auf der Registerkarte Filter in der grafischen Benutzeroberfläche ein Ereignis
zusammen, das dem gewünschten Ergebnis am nächsten kommt.
3. Bearbeiten Sie das Select-Element in der Registerkarte XML so, dass es die Datenelemente
mit den konkreten Werten auswählt, für die Sie sich interessieren.
Der XPATH-Ausdruck im Select-Element wird als Abfolge von Pfaden für XML-
Elemente zusammengesetzt. Sehen wir uns einen XPATH-Ausdruck als Beispiel an:
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 12544] and
EventData[Data[@Name='LogonType'] = '2']]
Dieser Ausdruck sucht nach XML, das folgendermaßen aussieht:
12544
2