مشاركة عبر

استعلامات لجدول WindowsEvent

  • مقالة

للحصول على معلومات حول استخدام هذه الاستعلامات في مدخل Microsoft Azure، راجع البرنامج التعليمي Log Analytics. للحصول على واجهة برمجة تطبيقات REST، راجع الاستعلام.

أحداث نهج تدقيق WindowsEvent

عرض الأحداث التي تم فيها مسح عمليات التدقيق (EventId = 1102) أو تغييرها (EventId = 4719).

WindowsEvent
| where Provider == 'Microsoft-Windows-Security-Auditing' 
| where EventID == 1102 or EventID == 4719
| extend DescriptionMessage = iff(EventID == 1102, 'Audit log was cleared', 'System audit policy was changed')
| take 100