Команда Powershell дает ошибку при выполнении

Question

Я пытаюсь перенаправить Windows событий безопасности с моего сервера пересылки на сборщик. Поэтому я выполнил некоторые настройки и смог получить все остальные Windows события (например, System, Application и т. Д. c.), Кроме событий Security.

Я получаю сообщение об ошибке ниже:

Ошибка - Время последней попытки: 21.04.2020 7:20:07. Код (0x138 C): Windows Плагин «Переадресация событий» не может прочитать событие из запроса, так как запрос не возвращает активный канал. Пожалуйста, проверьте каналы в запросе и убедитесь, что они существуют, и у вас есть доступ к ним. Время следующей попытки: 21.04.2020 8:20:07.

Я проверил и нашел следующие статьи:

• https://rockyprogress.wordpress.com/2011/12/04/security-event-log-collection-from-a-domain-controller/
• https://community.microfocus.com/t5/ArcSight-User-Discussions/Error-0x138c-when-deploy-Windows-Event-Forwarding/td-p/1577930

В PS я выполнил команду:

wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)

Но я получаю ошибку:

At line:1 char:38
+ wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;; ...
+                                      ~
Missing closing ')' in expression.
At line:1 char:52
+ wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;; ...
+                                                    ~
Unexpected token ')' in expression or statement.
At line:1 char:55
+ wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;; ...
+                                                       ~
Missing closing ')' in expression.
At line:1 char:65
+ ... util sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1; ...
+                                                                 ~
Unexpected token ')' in expression or statement.
At line:1 char:68
+ ... il sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;; ...
+                                                                  ~
Missing closing ')' in expression.
At line:1 char:88
+ ... BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1; ...
+                                                                 ~
Unexpected token ')' in expression or statement.
At line:1 char:91
+ ... G:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;; ...
+                                                                  ~
Missing closing ')' in expression.
At line:1 char:107
+ ... ;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)
+                                                                         ~
Unexpected token ')' in expression or statement.
    + CategoryInfo          : ParserError: (:) [], ParentContainsErrorRecordException
    + FullyQualifiedErrorId : MissingEndParenthesisInExpression

Я понимаю, на что это жалуется, но не могу понять, почему, поскольку это выглядит хорошо для меня. Может ли кто-нибудь помочь?

Answer 1

PowerShell интерпретирует точки с запятой как терминаторы операторов. Чтобы этого не происходило, заключите в кавычки весь параметр /ca: ...

wevtutil sl security '/ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'

В зависимости от того, как это приложение анализирует параметры, вы также можете указать только значение параметра

wevtutil sl security /ca:'O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'