SessionStart en Stops loggen

Voor troubleshooting doeleinden is het ooit wenselijk snel te weten wie wanneer actief was op een machine. Met het onderstaande powershell script haal je deze informatie snel uit de eventviewer logging en zet je het in een text bestand.

$Results = @()
$logs =Get-WinEvent -LogName Security| Where-Object {$_.ID -eq 4634 -or $_.ID -eq 4624}
ForEach ($log in $logs)
{
if ($log.Id -eq 4634)
{
$type=”SessionStop”
$username=$log.Properties[1].Value
}
Else {
$type=”SessionStart”
$username=$log.Properties[5].Value
}
if ($username -ne “”) {
$Results += New-Object PSObject -Property @{“Time” = $log.TimeCreated; “Event” = $type; “User” = $username};
}
}
$Results > c:\logonlogging.txt