Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Analysieren von Ereignissen mit den eingebauten Tools 241
Woher wissen wir das? Erstens verrät der Stern am Anfang: »Alle Ereignisse, die folgende
Kriterien erfüllen«. Anschließend verwendet der XPATH-Ausdruck eckige statt runde
Klammern, um Elemente zu gruppieren, daher müssen wir sie sorgfältig zählen. XPATH
meldet einen Fehler, wenn zu viele eckige Klammern vorhanden sind.
Anschließend folgt dieser Ausdruck:
System[
Das bedeutet, dass alle Elemente innerhalb des Ereignisses die Kriterien erfüllen, die den
Namen »System« tragen. Im Windows-Ereignisschema gibt es immer ein -Element.
Der nächste Ausdruck bedeutet, dass das -Element in dem gerade gefundenen
Element () gesucht wird:
Provider[@Name='Microsoft-Windows-Security-Auditing']
Das bedeutet, dass wir nur an -Elementen interessiert sind, bei denen das Attribut
Name den Wert Microsoft-Windows-Security-Auditing hat. Dies ist der Standardname
des Überwachungsereignisanbieters in Windows. Achten Sie genau auf die schließende
eckige Klammer (]) hinter der @Name-Klausel. Der nächste Teil der Abfrage ist ein and-
Ausdruck. Das bedeutet, dass wir mit dem -Element fertig sind.
Der nächste Teil der Abfrage verrät, dass wir das untergeordnete -Element im
-Element suchen (mit sind wir ja bereits fertig):
and Task=12544]
Nur Task-Elemente mit dem Wert 12544 erfüllen also die Kriterien. Beachten Sie auch,
dass wir den Elementwert vergleichen, nicht ein Attribut. Die schließende Klammer verrät,
dass wir mit dem -Element fertig sind. Passen Sie immer auf, welche Klammer
sich auf welches Element bezieht.
Die nächste Klausel ist etwas komplexer, aber sie ist wichtig. Hier bekommen Sie nämlich
die Informationen aus dem Data-Abschnitt von Ereignissen:
and EventData[
Das verrät uns, dass wir das untergeordnete -Element im Ereignis suchen.
Das nächste Stück erledigt praktisch die ganze Arbeit:
Data[@Name='LogonType'] = '2']
Das besagt im Wesentlichen: Suche -Elemente mit dem Wert 2, aber nur, falls sie
ein Attribut namens Name mit dem Wert LogonType haben. Das ist ein wirklich komplexer
Weg, in XML zu beschreiben, dass wir Ereignisse suchen, bei denen LogonType=2 ist.
Die letzte schließende Klammer am Ende des Ausdrucks schließt den Abschnitt für das
-Element im XPATH-Ausdruck ab.
Schließlich wird der gesamte Ausdruck mit einer schließenden Klammer beendet. Wenn
Sie die Klammern zählen, stellen Sie fest, dass es gleich viel öffnende und schließende
Klammern gibt. Jetzt brauchen Sie den Ausdruck nur noch auszuprobieren!