Exemplos de consulta de XPath

Use os exemplos XPath para monitorar eventos e recuperar credenciais de logon, como uma referência ao criar consultas XPath.

Para obter mais informações sobre consultas XPath, consulte sua documentação da Microsoft.

Nota: XPath usa apenas o protocolo de eventos MSEVEN6 .

Exemplo: monitorando eventos para um usuário específico

Neste exemplo, a consulta recupera eventos de todos os logs de eventos do Windows para o usuário convidado.

Importante: consultas XPath não podem filtrar eventos encaminhados pelo Windows.

<QueryList>
<Query Id="0" Path="Application">
<Select Path="Application">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="Security">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="Setup">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>
<Select Path="System">*[System[(Level=4 or Level=0) and
Security[@UserID='S-1-5-21-3709697454-1862423022-1906558702-501
']]]</Select>

</Query>
</QueryList>.

Exemplo: Logon Credencial para Windows 2008

Neste exemplo, a consulta recupera IDs de eventos específicos do log de segurança para eventos de nível de informação que estão associados com a autenticação da conta no Windows 2008.

<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(Level=4 or Level=0) and
( (EventID &gt;= 4776 and EventID &lt;= 4777) )]]</Select>
</Query>
</QueryList>

Tabela 1. Exemplo de IDs de eventos usados no logon de credencial
ID	Descrição
4776	O controlador de domínio tentou validar as credenciais para uma conta.
4777	O controlador de domínio falhou ao validar as credenciais para uma conta.

Exemplo: Recuperando eventos com base no usuário

Neste exemplo, a consulta examina os IDs de eventos para recuperar eventos específicos de uma conta de usuário que é criada em um computador fictício que contém um banco de dados de senha de usuário.

<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(Computer='Password_DB') and
(Level=4 or Level=0) and (EventID=4720 or (EventID &gt;= 4722
and EventID &lt;= 4726) or (EventID &gt;= 4741 and EventID
&lt;= 4743) )]]</Select>
</Query>
</QueryList>

Tabela 2. IDs de Eventos usada no exemplo de banco de dados
ID	Descrição
4720	Uma conta do usuário foi criada.
4722	Uma conta do usuário foi ativado.
4723	Uma tentativa foi feita para mudar a senha de uma conta.
4724	Uma tentativa foi feita para reconfigurar a senha de uma conta.
4725	Uma conta do usuário foi desativado.
4726	Uma conta do usuário foi excluída.
4741	Uma conta do usuário foi criada.
4742	Uma conta do usuário foi alterada.
4743	Uma conta do usuário foi excluída.

Exemplo: Recuperando logs de análise de DNS

Neste exemplo, a consulta recupera todos os eventos que são capturados nos logs de análise de dados do DNS.

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-DNSServer/Analytical">
    <Select Path="Microsoft-Windows-DNSServer/Analytical">*</Select>
  </Query>
</QueryList>

Exemplo: Recuperando eventos com Sysinternals Sysmon

Neste exemplo, a consulta recupera todos os eventos que são capturados pelo SysInternals Sysmon.

<QueryList>
<Query Id="0" Path="Microsoft-Windows-Sysmon/Operational">
<Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
</Query>
</QueryList>