Tentando filtrar AccessList = %% 1537 no visualizador de eventos: /

Question

Eu tenho a auditoria de arquivos ativada e gostaria de poder filtrar uma determinada ação do usuário. Eu configurei um filtro XML bem básico, mas parece que não consigo fazer funcionar. Eu tenho trabalhado com algumas categorias eventdata diferentes de AccessList como HandleId e SubjectUserName.

<QueryList> 
 <Query Id="0" Path="Security"> 
  <Select Path="Security"> 
   *[EventData[Data[@Name='AccessList'] and (Data='%%1537')]] 
  </Select> 
 </Query> 
</QueryList>

Estou tentando encontrar o seguinte:

<Event>
 <EventData>
  <Data Name="AccessList">%%1537</Data>
 </EventData>
</Event>

Alguém pode oferecer alguma orientação?

    

Answer 1

Você precisa adicionar 
				 após %%1537

	 - a guia


 - newline


 - retorno de carro

<QueryList> 
 <Query Id="0" Path="Security"> 
  <Select Path="Security"> 
   *[EventData[Data[@Name='AccessList'] and (Data='%%1537&#xD;&#xA;&#x09;&#x09;&#x09;&#x09;')]] 
  </Select> 
 </Query> 
</QueryList>

Referência: link