PowerShell 查询域用户和本地用户加入组的时间和最后登录信息

非法入侵

#查询本机日志　　
$eventcritea = @{logname='security';id=4732}
　　
$Events =get-winevent -ComputerName $env:COMPUTERNAME -FilterHashtable $eventcritea
　　
#$Events = Get-WinEvent -ComputerName syddc01 -Filterxml $xmlfilter
　　

　　
$result=@()
　　

　　
# 解析日志
　　
ForEach ($Event in $Events) {
　　

　　
    # Convert the event to XML
　　
    $eventXML = [xml]$Event.ToXml()
　　
    $groupname=$eventXML.Event.EventData.Data[2].'#text'.ToString()
　　
    $sid= $eventXML.Event.EventData.Data[1].'#text'.ToString()
　　

　　
#转换SID到用户名
　　

　　
    $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid)
　　
    $objUser = $objSID.Translate( [System.Security.Principal.NTAccount])
　　

　　
#保存结果到自定义的一个对象
　　
    $temp=[pscustomobject]@{Time=$Event.TimeCreated;Username=$objUser.Value;GroupName=$groupname}
　　
   $result+=$temp
　　
}
　　

　　
  $result