WindowsITPro - winitpro.ru

👥Если инфраструктурными серверами управляет несколько различных администраторов или даже команд, иногда случается, что кто-то случайно (или не случайно) удалил с сервера определенное приложение/агент. В этом случае для расследования инцидента и определения конкретного человека, который удалили или установил приложение, можно выполнить поиск по событиям в Event Viewer.

📝Для поиска событий установки (код 11707) и удаления (код 11724) приложений, упакованных в MSI-пакеты, можно использовать простой PowerShell скрипт. Следующий скрипт выведет информацию о том, кто и когда устанавливал или удалял агент Zabbix на сервере Windows:

$appname='*Zabbix*'
Get-WinEvent -FilterHashtable @{LogName="Application"; ID=11707,11724; ProviderName='MsiInstaller'}| Where-Object { $_.Message -like $appname }| Select TimeCreated, @{Name='Username'; Expression={(New-Object System.Security.Principal.SecurityIdentifier($_.userid)).Translate([System.Security.Principal.NTAccount]).Value}}, Message

Как определить, кто установил или удалил программу в Windows?

www.tgoop.com/winitpro_ru/834

7.0K viewsDec 27 at 12:39

👥Если инфраструктурными серверами управляет несколько различных администраторов или даже команд, иногда случается, что кто-то случайно (или не случайно) удалил с сервера определенное приложение/агент. В этом случае для расследования инцидента и определения конкретного человека, который удалили или установил приложение, можно выполнить поиск по событиям в Event Viewer.

📝Для поиска событий установки (код 11707) и удаления (код 11724) приложений, упакованных в MSI-пакеты, можно использовать простой PowerShell скрипт. Следующий скрипт выведет информацию о том, кто и когда устанавливал или удалял агент Zabbix на сервере Windows:

$appname='*Zabbix*'
Get-WinEvent -FilterHashtable @{LogName="Application"; ID=11707,11724; ProviderName='MsiInstaller'}| Where-Object { $_.Message -like $appname }| Select TimeCreated, @{Name='Username'; Expression={(New-Object System.Security.Principal.SecurityIdentifier($_.userid)).Translate([System.Security.Principal.NTAccount]).Value}}, Message

BY WindowsITPro - winitpro.ru