Partilhar via

Consultas para a tabela WindowsEvent

  • Artigo

Para obter informações sobre como usar essas consultas no portal do Azure, consulte o tutorial do Log Analytics. Para a API REST, consulte Consulta.

Eventos da Política de Auditoria de Eventos do Windows

Exiba eventos em que as auditorias foram limpas (EventId = 1102) ou alteradas (EventId = 4719).

WindowsEvent
| where Provider == 'Microsoft-Windows-Security-Auditing' 
| where EventID == 1102 or EventID == 4719
| extend DescriptionMessage = iff(EventID == 1102, 'Audit log was cleared', 'System audit policy was changed')
| take 100