powershell在eventviewer中获取PATH变量更改日志

Question

我试图从系统和安全事件中获取PATH环境变量的事件日志详细信息，但无法轻松获取。

我尝试了Get-EventLog system | Format-List和Get-EventLog Security | Format-List，但提供了其他详细信息。有没有办法从Windows 2008 R2上配置服务器时获取PATH环境变量的详细信息日志？

Answer 1

假设您已将审计配置为监视存储环境变量的注册表项...

1. 设置@Html.TextBoxFor(m => m.VoluntaryWork.DateEnded, "{0:d}", null) =＆gt; Local Security Policy =＆gt; Security Settings =＆gt; Local Policies =＆gt; Audit Policy至Audit object access或Success。
2. 在Success, Failure注册表项上为HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment主体添加审核规则，并至少添加Everyone权限。

...您可以从提升的PowerShell会话中运行以下命令，以检索通过修改Set value环境变量创建的事件日志条目。输出对象将包含所有事件日志条目类型共有的选择属性以及专门用于注册表修改事件的选项属性，因此您可以访问哪个用户和进程已更改%PATH%以及/从哪个值。

%PATH%