WMI-Abfrage zu Lesen 'Microsoft-Windows-AppLocker/EXE und DLL' C#

Question

Ich habe einen Agenten zum Lesen von Windows-Ereignis mit WMI erstellt. Ich benutze den Agenten der letzten 3 Jahre, um Ereignisse zu sammeln. Es wird in einem SEIM-Produkt verwendet. Die Abfrage sieht so aus:

SELECT * FROM Win32_NTLogEvent where LogFile = 'System' or logFile='Active Directory Web Services' 

Ich bin in der Lage, die Ereignisse richtig zu bekommen. Aber jetzt möchte ich Apploacker-Ereignisse "Microsoft-Windows-AppLocker/EXE und DLL" (Anwendungs- und Sicherheitsprotokolle -> Microsoft -> Windows -> AppLocker -> Exe und DLL) lesen.

Ich versuchte die folgende Abfrage, aber es gibt Null-Datensatz, obwohl ich mehr als 40 Datensätze darin haben. Ich kann den Datensatz in der Ereignisanzeige sehen.

Ich habe versucht mit "wbemest" aber keine Aufzeichnung ohne Fehler.

Ich bin nicht sicher, ob dies auf andere Weise mit WMI erreicht werden kann. Ich weiß, dass Powershell ein Cmdlet hat und über das ich "Microsoft-Windows-AppLocker/EXE und DLL" -Ereignisse lesen kann. Aber ich möchte es mit WMI lesen.

Alle Hinweise werden sehr geschätzt.

Vielen Dank im Voraus an alle Zuschauer.

Answer 1

Es scheint, dass die WMI-Abfrage den Registrierungsspeicherort HKLM\SYSTEM\CurrentControlSet\Services\EventLog nach verfügbaren Ereignisprotokollen analysiert (siehe MSDN Forum post). Überprüfen Sie die Liste, die Sie dort finden, mit dem Ergebnis der Abfrage Select * FROM Win32_NTEventLogFile.

Um eine Protokolldatei für WMI-Vorgänge hinzuzufügen, fügen Sie einen neuen Schlüssel unter dem obigen Registrierungsspeicherort mit dem Namen des Protokolls hinzu ('Microsoft-Windows-AppLocker/EXE und DLL' in Ihrem Fall). Jetzt sollte es dieses Protokoll mit Ihrer WMI-Abfrage zurückgeben.

Answer 2

Je nach PowerShell-Version können Sie den Befehl "Get-WinEvent" verwenden, um das zu vereinfachen, was Sie tun.

https://msdn.microsoft.com/en-us/powershell/reference/5.0/microsoft.powershell.diagnostics/get-winevent

Get-WinEvent -LogName "Microsoft Windows-AppLocker/EXE und DLL"