ตรวจสอบการเข้าสู่ระบบของผู้ใช้ท้องถิ่นบนระบบปฏิบัติการ Windows

การเข้าสู่ระบบของผู้ใช้บนระบบปฏิบัติการ Microsoft Windows เรียกว่าเหตุการณ์การเข้าสู่ระบบ ในบล็อกโพสต์สั้นๆ นี้ ฉันจะแสดงให้คุณเห็น PowerShell One-Liner ซึ่งจะดึงข้อมูลการเข้าสู่ระบบของผู้ใช้ทั้งหมดของผู้ใช้รายใดรายหนึ่ง

รหัส PowerShell

การเข้าสู่ระบบของผู้ใช้ที่สำเร็จจะถูกบันทึกด้วยรหัสเหตุการณ์ 4648 รหัสด้านล่างนี้จะเรียกเหตุการณ์การเข้าสู่ระบบที่สำเร็จทั้งหมดของผู้ใช้ Patri อีกครั้ง ผลลัพธ์ถูกจัดรูปแบบด้วย Format-Table cmdlet เพื่อให้อ่านง่ายขึ้น

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" |
Format-Table TimeGenerated,Message -AutoSize -Wrap

เพื่อให้แม่นยำยิ่งขึ้น และเพื่อหลีกเลี่ยงเอาต์พุตที่กว้างขวาง ฉันจำกัดเอาต์พุตให้แสดงเฉพาะการเข้าสู่ระบบที่สำเร็จครั้งล่าสุดเท่านั้น

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" | 
Select-Object -First 1 |
Format-Table TimeGenerated,Message -AutoSize -Wrap

ขอให้สนุกกับการติดตามระบบของคุณด้วย PowerShell!