Zaman zaman hızlıcı ortamınızda hangi hesap için şifre denemesi yapıldığını görmek ya da hangi bilgisayarlarda zararlı yazılım olduğunu konusunda bilgi sahibi olmak için DC'lerinizin audit loglarını incelemek isteyebilirsiniz. Malesef bu iş GUI'den uğraşması zor ve zahmetli bir iştir. Bu işi basitçe powershell üzeriden yapabileceğiniz Powershell komutlarını aşağıda yazacağım. İki ayrı komut dosyasından 1. si sizin elle verdiğiniz DC üzerindeki loglar için istatistik göstriyor (Ör: administrator hesabı için 50 kere yanlış şifre deneesi yapılmıştır gibi). 2. powershell komutu ortamınızdaki tum DC'leri öğrenip tüm dclerden belirteceğiniz sayıda logu çekip onların istatistiklerini ayrı ayrı gösteriyor.

DCdenlogtopla.ps1
________________

#$Son5dk=Get-Date


#$Son5dk=$Son5dk.AddMinutes(-5)

#$logs=Get-EventLog -LogName security -ComputerName DCNAME -InstanceId 4771 -After $Son5dk

$logs=Get-EventLog -LogName security -ComputerName DCNAME -InstanceId 4771 -Newest 5000

$results=@()

$statistics=@()

foreach($log in $logs)

{

$tmp=$log.Message.Substring($log.Message.IndexOf("Account Name:")+15)

$tmp=$tmp.Substring(0,$tmp.IndexOf("Service Information:")-3)



$flag="false"

for($i=0;$i -lt $results.length;$i++)

{

if($results[$i] -eq $tmp)

{

$statistics[$i]++

$flag="true"

}

}

if($flag -eq "false")

{

$results+=$tmp

$statistics+=1

} 



}

for($i=0;$i -lt $results.length;$i++)

{

$results[$i]+" "+$statistics[$i] 

}

"..............."

$results.length

TumDClerdenLogTopla.ps1
_______________________

Import-Module ActiveDirectory


$allDcs=Get-ADDomainController -Filter *

foreach($dc in $allDcs)

{

$dc.Name

"________________"





$logs=Get-EventLog -LogName security -ComputerName $dc.Name -InstanceId 4771 -Newest 100

$results=@()

$statistics=@()

foreach($log in $logs)

{

$tmp=$log.Message.Substring($log.Message.IndexOf("Account Name:")+15)

$tmp=$tmp.Substring(0,$tmp.IndexOf("Service Information:")-3)



$flag="false"

for($i=0;$i -lt $results.length;$i++)

{

if($results[$i] -eq $tmp)

{

$statistics[$i]++

$flag="true"

}

}

if($flag -eq "false")

{

$results+=$tmp

$statistics+=1

} 



}

for($i=0;$i -lt $results.length;$i++)

{

$results[$i]+" "+$statistics[$i] 

}

"________________"

#$results.length

#"________________"



}