XPath 예제

이 예제에, 조회는 DNS 분석 로그에서 캡처되는 모든 이벤트를 검색합니다.

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-DNSServer/Analytical">
 <Select Path="Microsoft-Windows-DNSServer/Analytical">*</Select>
 </Query>
</QueryList>

이 예제에서 조회는 SysInternals Sysmon에 의해 캡처되는 모든 이벤트를 검색합니다.

<QueryList>
<Query Id="0" Path="Microsoft-Windows-Sysmon/Operational">
<Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
</Query>
</QueryList>

이 예제에서 조회는 게스트 사용자의 모든 Windows 이벤트 로그에서 이벤트를 검색합니다.

<QueryList>
<Query Id="0" Path="Application">
<Select Path="Application">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="Security">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="Setup">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="System">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
</Query>
</QueryList>

이 예제에서 조회는 Windows 2008의 계정 인증과 연관된 정보 레벨 이벤트의 보안 로그에서 특정 이벤트 ID를 검색합니다.

<QueryList>
  <Query Id="0" Path="Security">
    <Select Path="Security">*[System[(Level=4 or Level=0) and ( (EventID >= 4776 and EventID <= 4777) )]]</Select>
  </Query>
</QueryList>

이 예에서 조회는 이벤트 ID를 검사하여 사용자 비밀번호 데이터베이스가 있는 허구의 컴퓨터에서 작성되는 사용자 계정에 특정한 이벤트를 검색합니다.

<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(Computer='Password_DB') and
(Level=4 or Level=0) and (EventID=4720 or (EventID >= 4722
and EventID <= 4726) or (EventID >= 4741 and EventID
<= 4743) )]]</Select>
</Query>
</QueryList>