Event Log - User Account Created (%USERNAME%)

[Sergey Koryakin]

Здравствуйте!

Собираю с контроллера домена события по ID "4720 - User Account Created" плюс несколько других.

В триггере указал:

Name: Event Log - User Account Created
Expression: {Template Security Event Log:eventlog[Security,,,,4720].logeventid(4720)}=1 and {Template Security Event Log:eventlog[Security,,,,4720].nodata(5m)}=0

На почту приходит уведомление - с именем триггера. В тексте письма - стандартный шаблон.

Хочу сделать так, чтобы в заголовке уведомления было указано имя созданной учетной записи, типа "Event Log - User Account Created (username@domain)", и в тексте письма - кто ее сделал.

Добавил в имя триггера - "Event Log - User Account Created ({{ITEM.VALUE}.regsub("^.* User Principal Name: ([a-zA-Z]*).*$","\1")})", но, конечно же ничего не произошло

Подскажите, пожалуйста, как все правильно сделать?


Вот лог события:

4720
A user account was created.

Subject:
Security ID: S-1-2-34-567890123-4657890123-45678901234-5678
Account Name: admin_username
Account Domain: DOMAIN
Logon ID: 0x12345678

New Account:
Security ID: S-1-2-34-567890123-4657890123-45678901234-5679
Account Name: TestUser1
Account Domain: DOMAIN

Attributes:
SAM Account Name: TestUser1
Display Name: TestUser1
User Principal Name: TestUser1@DOMAIN
Home Directory: -
Home Drive: -
Script Path: -
Profile Path: -
User Workstations: -
Password Last Set: <never>
Account Expires: <never>
Primary Group ID: 513
Allowed To Delegate To: -
Old UAC Value: 0x0
New UAC Value: 0x15

User Account Control:
Account Disabled
'Password Not Required' - Enabled
'Normal Account' - Enabled
User Parameters: -
SID History: -
Logon Hours: <value not set>

Additional Information:
Privileges -

[Sergey Koryakin]

Сделал то что хотел:

Event Log - User Account Created ({{ITEM.VALUE}.iregsub("Account Name:\s*([\w- ]*)", "\1")} create {{ITEM.VALUE}.iregsub("SAM Account Name:\s*([\w- ]*)", "\1")})

В результате получаем триггер - "Event Log - User Account Created (AdminName create UserName)"

[Sergey Koryakin]

Дальше нужно сделать триггер на изменение учетной записи, но там сложнее



Как выбрать второе значение Account Name?

[Evgeniy]

Сам не сильно в этом разбираюсь, но раз уж остальные молчат, то попробуйте оттолкнуться от простого: Target Account:\n.+\nAccount Name: (.+)

[Sergey Koryakin]

Так и сделал.

Target Account:\s+.+\s+Account Name:\s*([\w- ]*)

В итоге имя триггера получилось таким:

Event Log - User Account Changed (DOMAIN\{{ITEM.VALUE}.iregsub("Account Name:\s*([\w- ]*)", "\1")} change DOMAIN\{{ITEM.VALUE}.iregsub("Target Account:\s+.+\s+Account Name:\s*([\w- ]*)", "\1")})

Что резолвится как:

Event Log - User Account Changed (DOMAIN\admin_name change DOMAIN\user_name)

[Just-it]

А поделитесь как вы снимаете эти данные через UserParametrs ?

[wakeon]

Подскажите регулярное выражение если аккаунт пользователей идет через точку? Например u.user