CMD/BAT - Потрошение Event Viewer

[Elven]

Мониторинг кривых рук польЗЛОвателей или кто подставил Имярека Имярековича

В домене начали появляться случаи автоматической блокировки учетных записей из-за многократного ввода неверного пароля. Разумеется стало сильно интересно откуда ноги растут у проблемы, и была включена политика аудита Directory Service Access. Логи начали сыпаться, но в таких бешеных количествах, что стало понятно: отслеживать оные не в человецких силах.

Теперь таки задача:

1. Выпарсить из логов Event Viewer соответствующим конкретным EventID (4771) имя пользователя, IP компьютера, время попытки.



XML Event'a

[spoiler]-

-



4771

0

0

14339

0

0x8010000000000000



4791008749





Security

DC.doma.in





-

Usver

S-1-5-21-1114597676-1119302421-1926942842-6051

krbtgt/DOM

0x40810010

0x18

2

::ffff:172.16.101.106

52398[/spoiler]




2. Проверить сколько было попыток с этого компьютера, этим пользователем за последние, например, 30 минут.

3. В случае превышения значения по пункту 2 отметки в, допустим, 5 попыток - записать в отдельный лог IP компьютера, имя пользователя, количество попыток. (лог будет несколько раз в день отправляться blat-ом и удаляться)



з.ы. Предпочтение я отдаю тому что лучше знаю (cmd/bat) однако не уверен что при помощи оного можно вытянуть данные из EventViewer'a. Как бы то ни было буду рад решению на любом языке.

[Iska]

Elven, я бы посмотрел в сторону

Log Parser 2.2

.

[iccup.platoon@vk]

А количество строк в xml всегда одинаковое?

[iccup.platoon@vk]

iccup.platoon@vk, приведённый xml — это одно экспортированное событие. А работать надо либо с самим журналом (желательно), либо с его архивом .evt/.evtx, как я понимаю.

[Iska]

Iska, совершенно правильное утверждение.

Iska, смотрю в сторону LogParser широко закрытыми от ужаса глазами. Офигенная, конечно, штука, но требует в себе разобраться, так что пока ковыряюсь дальше.