Ejemplos de XPath
Los ejemplos siguientes describen consultas XPath que puede utilizar en WinCollect 10 para recuperar sucesos personalizados de los registros de sucesos de Windows.
Recuperación de registros analíticos de DNS
En este ejemplo, la consulta recupera todos los sucesos capturados en los registros analíticos de DNS.
<QueryList>
<Query Id="0" Path="Microsoft-Windows-DNSServer/Analytical">
<Select Path="Microsoft-Windows-DNSServer/Analytical">*</Select>
</Query>
</QueryList>Recuperación de sucesos Sysmon de Sysinternals
En este ejemplo, la consulta recupera todos los sucesos capturados por SysInternals Sysmon.
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Sysmon/Operational">
<Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
</Query>
</QueryList>Supervisión de sucesos para un usuario específico
En este ejemplo, la consulta recupera sucesos de todos los registros de sucesos de Windows para el usuario invitado.
<QueryList>
<Query Id="0" Path="Application">
<Select Path="Application">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="Security">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="Setup">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="System">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
</Query>
</QueryList>Inicio de sesión de credenciales para Windows 2008
En este ejemplo, la consulta recupera ID de suceso específicos del registro de seguridad para sucesos de nivel de información que están asociados con la autenticación de cuenta en Windows 2008.
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(Level=4 or Level=0) and ( (EventID >= 4776 and EventID <= 4777) )]]</Select>
</Query>
</QueryList>| ID de suceso | Descripción |
|---|---|
| 4776 | El controlador de dominio ha intentado validar las credenciales de una cuenta. |
| 4777 | El controlador de dominio no ha podido validar las credenciales de una cuenta. |
Recuperación de sucesos basados en el usuario
En este ejemplo, la consulta examina los ID de suceso para recuperar sucesos específicos para una cuenta de usuario que se crea en un sistema ficticio que contiene una base de datos de contraseñas de usuario.
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(Computer='Password_DB') and
(Level=4 or Level=0) and (EventID=4720 or (EventID >= 4722
and EventID <= 4726) or (EventID >= 4741 and EventID
<= 4743) )]]</Select>
</Query>
</QueryList>| ID de suceso | Descripción |
|---|---|
| 4720 | Se ha creado una cuenta de usuario. |
| 4722 | Se ha habilitado una cuenta de usuario. |
| 4723 | Se ha intentado cambiar la contraseña de una cuenta. |
| 4724 | Se ha intentado restablecer la contraseña de una cuenta. |
| 4725 | Se ha inhabilitado una cuenta de usuario. |
| 4726 | Se ha suprimido una cuenta de usuario. |
| 4741 | Se ha creado una cuenta de usuario. |
| 4742 | Se ha cambiado una cuenta de usuario. |
| 4743 | Se ha suprimido una cuenta de usuario. |