Giám sát việc đăng nhập của người dùng cục bộ trên hệ điều hành Windows

Đăng nhập của người dùng trên hệ điều hành Microsoft Windows được gọi là Sự kiện đăng nhập. Trong bài đăng blog ngắn này, tôi sẽ giới thiệu cho bạn PowerShell One-Liner để truy xuất tất cả thông tin đăng nhập của người dùng của một người dùng cụ thể.

Mã PowerShell

Người dùng đăng nhập thành công được ghi lại bằng ID sự kiện 4648. Mã bên dưới truy xuất tất cả các sự kiện đăng nhập thành công của người dùng patri. Đầu ra được định dạng bằng lệnh ghép ngắn Format-Table để dễ đọc hơn.

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" |
Format-Table TimeGenerated,Message -AutoSize -Wrap

Nói chính xác hơn và để tránh đầu ra rộng rãi, tôi hạn chế đầu ra chỉ hiển thị lần đăng nhập thành công cuối cùng.

Get-EventLog -LogName Security -InstanceId 4648 | 
Where-Object Message -match "patri" | 
Select-Object -First 1 |
Format-Table TimeGenerated,Message -AutoSize -Wrap

Hãy vui vẻ giám sát hệ thống của bạn với PowerShell!