使用Loginsearch.ps1搜索登录事件
简介
本文档介绍如何使用Loginsearch.ps1（PowerShell脚本）搜索登录事件。
背景信息
Loginsearch.ps1是一个小型PowerShell脚本，用于收集对Umbrella支持有用的信息以进行故障排除。在排除某些用户在报告中未显示正确活动或OpenDNS Umbrella控制面板上搜索活动的原因时，该功能非常有用，但也可用于排除其他类型的问题。
在DC之间复制登录事件时，请在任何标准域控制器上运行此命令。但是，如果在搜索时没有看到任何事件并且希望从特定主机看到这些事件，则复制服务器之间的事件日志可能会有问题。在此实例中，找出该主机使用的%LOGONSERVER%，然后在指定的域控制器上运行该脚本。如果仍然看不到任何事件，请确保正在审核登录事件。
脚本附加到本文的底部。收集到的信息既可用于自行排除故障，也可用于OpenDNS支持部门进行故障排除。
运行脚本
完成这些步骤：
- 下载附加的文本文件并将扩展名从“.txt”重命名为“.ps1”。
注意：请注意双分机，不要不小心将其命名为“.txt.ps1”。
- 然后，从Windows服务器打开由启动的新PowerShell窗
'Right-Click -->Run as Administrator'口。导航到保存脚本的位置)(eg: 'cd C:\Users\admin\Downloads'并通过键入执行脚本.\loginsearch.ps1. - 脚本首先提示您要在Windows安全事件日志中搜索的用户名，然后提示您特定IP地址（如果您希望按IP搜索）。使用屏幕提示。如果要将搜索结果同时限制到特定的用户和IP地址，可以单独使用其中一种搜索或其它（用户名或IP）搜索，也可以同时使用这两种搜索。
- 脚本可以快速运行。完成后，您将在屏幕上看到两个输出，其中包含时间戳。另外完成导出屏幕上显示的每个事件日志项
'C:\%hostname%.txt'。如果您想进一步深入挖掘特定事件，这会非常有用。
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
13-Oct-2025
|
初始版本 |
反馈