xml - Windows 事件转发 (WEF) .xml 查询

Question

我正在使用一系列 xml 查询来使用https://docs.microsoft.com/en-us/windows/security/threat-protection/use-windows-event-forwarding-to-assist-in创建 WEF 订阅- 入侵检测作为粗略指南。我有一个监管要求来捕获和审核事件 ID 4688 流程创建。在正常情况下，这是一个高容量事件，在我的环境中，我们被迫使用 Tanium 作为我们的 EDR 解决方案，而 Tanium 最终负责我们系统上所有进程创建事件的一半。所以......我想构建我的 xml 查询以捕获 4688 事件，但排除那些 NewProcessName 或 ParentProcessName 包含Tanium的事件

不排除 Tanium 的基本查询如下所示：

<Query Id="18" Path="Security">
<!-- Process Create (4688) -->
<Select Path="Security">*[System[EventID=4688]]</Select>
</Query>

任何帮助弄清楚如何过滤掉与 Tanium 相关的事件将不胜感激。

标签： xmlwindows

Answer 1

通过尝试这个 xpath 表达式，这是漫长而痛苦的：

*[System[EventID=4688]][not(//Data[(@Name="NewProcessName" and (contains(./text(),'Tanium'))) or
(@Name="ParentProcessName" and (contains(./text(),'Tanium')))])]