In großen Enterprise -Umgebungen mit mehreren Administratoren muss häufig festgestellt werden, welcher Benutzer ein Programm auf einem bestimmten Windows -Server oder Workstation installiert oder deinstalliert hat. Lassen Sie uns untersuchen, wie Informationen von Windows Event Viewer -Protokollen extrahiert werden, um den spezifischen Benutzer zu identifizieren, der die Installation oder Entfernung eines Programms initiiert hat.
Wenn Sie klassische Windows -Apps mithilfe des MSI -Installationsprogramms installieren oder deinstallieren, werden die entsprechenden “MSIInstaller” -Ereignisse im Event Viewer -Protokoll geschrieben.
-
11707 - Ereigniscode der erfolgreichen Installation einer MSI -App.
-
11724 - MSI -App -Entfernungsereignis
Öffnen Sie die Event Viewer Ereignisprotokollkonsole (eventvwr.msc) und filtern Sie für Ereignisse mit IDS 11707 und 11724 im Anwendungsprotokoll. Es wird eine Liste der Programminstallations- und Entfernungsereignisse angezeigt. Der Name des Programms, das installiert oder entfernt wurde, ist in der Ereignisbeschreibung enthalten. Zum Beispiel:
Product: Zabbix Agent 2 (64-bit) -- Removal completed successfully.
Product: 7-Zip 24.09 (x64 edition) -- Installation completed successfully.
Der Name des Benutzers, der die App installiert oder deinstalliert hat, finden Sie in der Eigenschaft „Benutzer“ des Ereignisses.
Sie können PowerShell verwenden, um schnell alle Installations- und Deinstallationsereignisse für ein bestimmtes Programm zu finden. Das folgende Skript gibt alle ZABBIX -Agenten -Installations- oder -entfernereignisse auf dem Server aus, einschließlich der Namen der Benutzer, die diese Aktionen durchgeführt haben.
`Get-Winevent-filterHashtable @{logName =" application “; ID = 11707,11724; ProviDername = ‘MSIInstaller’} | WO-ABJECT {$ _. Message-like ‘Zabbix'} | Wählen Sie Zeit, @{name = ‘userername’; Expression = {(New-Object System.security.principal.securityIdentifier ($ _. Userid)). Übersetzer (System.security.principal.ntaccount). Value}}, Message ``
Userid Feld enthält das
Da das Field das SID des Benutzers enthält, wandelt das Skript es in einen Kontonamen um.
Der Zuverlässigkeitsmonitor enthält außerdem Informationen zu Ereignissen für Programminstallation und Entfernung. Dieser Beitrag enthält eine ausführliche Erläuterung, wie die Installations- und Entfernungsverlauf von Apps in Windows angezeigt wird.
*️⃣ Quellverknüpfung:
Get-Winevent, Benutzer SID, wie man den Installations- und Entfernungsverlauf von Apps in Windows anzeigt, wie man ansieht.