Windows İşletim Sistemlerinde Yerel Kullanıcı Oturum Açmalarını İzleme

Microsoft Windows işletim sistemlerindeki Kullanıcı Oturum Açma işlemlerine Oturum Açma Olayları adı verilir. Bu kısa blog yazısında size, belirli bir kullanıcının tüm kullanıcı oturum açma bilgilerini alan bir PowerShell One-Liner göstereceğim.

PowerShell Kodu

Başarılı kullanıcı oturum açma işlemleri 4648 Olay Kimliğiyle günlüğe kaydedilir. Aşağıdaki kod, patri kullanıcısının tüm başarılı oturum açma olaylarını alır. Çıktı, daha iyi okunabilirlik için Format-Table cmdlet'iyle biçimlendirilmiştir.

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" |
Format-Table TimeGenerated,Message -AutoSize -Wrap

Daha kesin olmak ve kapsamlı çıktılardan kaçınmak için çıktıyı yalnızca son başarılı oturum açma işlemini gösterecek şekilde sınırlandırıyorum.

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" | 
Select-Object -First 1 |
Format-Table TimeGenerated,Message -AutoSize -Wrap

PowerShell ile sistemlerinizi izlemenin tadını çıkarın!