Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 8. Мониторинг журналов в режиме реального времени
137
#
# Использование: ./wintail.sh
#
WINLOG="Application"

LASTLOG=$(wevtutil qe "$WINLOG" //c:1 //rd:true //f:text)

while true
do
CURRENTLOG=$(wevtutil qe "$WINLOG" //c:1 //rd:true //f:text)

if [[ "$CURRENTLOG" != "$LASTLOG" ]]
then
echo "$CURRENTLOG"
echo "----------------------------------"
LASTLOG="$CURRENTLOG"
fi
done

.Этой.переменной.определяется.журнал.Windows,.который.вы.хотите.отслежи-
вать..Для.получения.списка.журналов,.доступных.в.системе.в.настоящее.время,.
можете.использовать.команду.
wevtutil
.
el
.

.Здесь.для.запроса.указанного.файла.журнала.выполняется.команда.
wevtutil
..
Параметр.
c:1
.возвращает.только.одну.запись.журнала..Параметр.
rd:true
.позволяет.
команде.считать.самую.последнюю.запись.журнала..Наконец,.
f:text
.возвращает.
результат.в.виде.обычного.текста,.а.не.в.формате.XML,.что.позволяет.легко.читать.
результат.с.экрана.

.В.следующих.нескольких.строках.снова.выполняется.команда.
wevtutil
.и.только.
что.полученная.запись.журнала.сравнивается.с.той,.которая.была.напечатана.на.
экране.последней..Если.они.друг.от.друга.отличаются,.это.означает,.что.в.журнале.
произошли.изменения..В.этом.случае.на.экран.выводится.новая.запись..Если.же.
сравниваемые.записи.одинаковы,.ничего.не.происходит.и.команда.
wevtutil
.воз-
вращается.назад.и.снова.начинает.поиск.и.сравнение.
Создание гистограммы, актуальной 
в реальном времени
Команда.
tail
.
-f
.обеспечивает.текущий.поток.данных..А.что.делать,.если.требуется.
подсчитать.количество.строк,.которые.были.добавлены.в.файл.за.определенный.
промежуток.времени?.За.этим.потоком.данных.можно.понаблюдать,.запустить.
таймер.и.выполнять.подсчет.на.протяжении.заданного.промежутка.времени;.затем.
подсчет.следует.прекратить.и.сообщить.о.результатах.

---

138