>wieso kann ich nicht direct von $A aus ein "$A | Select-String -pattern Quellnetzwerkadresse:" machen?
Weil $a kein String ist. $a ist ein Array aus Eventlogentry-Objekten. Nimmst du eines davon, also das erste z.b.
$a[0] und davon den Textteil $a[0].message könntest du diesen auch filtern.
Grundsätzlich war dein erster Versuch übrigens gut, du musst nur statt "-eq" (bedeutet "ist exakt gleich"), "-like" nehmen:
get-eventlog -log security |Where-Object {$_.message -like "*Quellnetzwerkadresse*"}
Besser wäre aber zum einen die Anzahl der Events zu beschränken (z.b. täglich auszuführen) und dann gleich die IPs aus dem Text zu filtern. Dazu nimmst du
Regex und suchst nach dem Pattern
"Quellnetzwerkadresse <RegexMusterFürIPAdresse>" und extrahierst daraus dann die IP:
$IPs = @()
$regexPattern = [regex]"Quellnetzwerkadresse: \d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}" # Suchpattern festlegen
get-eventlog -log security -After (Get-Date).adddays(-1) | # lese eventlogentrys des letzen Tages
Where-Object {$_.message -match $regexPattern } | # filtere nach Einträgen mit angegebem Pattern
ForEach-Object { $IPs += $matches[0].substring(22) } #extrahiere die IP-Adresse
Write-Output $IPs
Mhm, und was dein grundsätzliches Vorhaben betrifft:
Ich will da jetzt nicht tiefer einsteigen, aber sich IP's nach
einem Angriff zu merken, ist ungefähr so effektiv wie zu versuchen, aus der der Zusammensetzung des Hundehäufchens auf den Hund zu schließen, der da immer deinen Vorgarten verschandelt. ;-) IPs sind nur Schall und Rauch.
Sicher deinen Server lieber mit einem wirklich starken Passwort, sieh zu das Patches umgehend eingespielt werden und achte drauf das nur die Ports offen stehen die nötig sind.
Grüße, Denniver
Blog: http://bytecookie.wordpress.com
Hilf mit und markiere hilfreiche Beiträge als "Hilfreich" und Beiträge die deine Frage ganz oder teilweise beantwortet haben als "Antwort".
