Zdarzenia WMI i Windows PowerShell
W WMI istnieje takie zagadnienie jak kwerendy zdarzeń WMI. Istnieją trzy rodzaje kwerend zdarzeń WMI:
- zdarzenia wewnętrzne,
- zewnętrzne zdarzenia
- zdarzenia timera.
W skrócie postaram się przedstawić pierwszy z nich, czyli wewnętrzne zdarzenia które używane są do monitorowania zasobów reprezentowanych przez klasy w repozytorium CIM. Innym słowy, wewnętrzne zdarzenia występują w odpowiedzi na zmiany w standardowym modelu danych WMI. . WMI tworzy zdarzenia wewnętrzne dla obiektów przechowywanych w repozytorium WMI.
Najbardziej przydatne klasy wewnętrznych zdarzeń WMI:
__InstanceCreationEvent
Ta klasę używamy, gdy chcemy, aby otrzymać powiadomienie o tworzeniu instancji Na przykład, możemy użyć tej klasy gdy chcemy otrzymać powiadomienie za każdym razem o zdarzeniu utworzenia nowego procesu.
|
1 2 |
$query = "SELECT * FROM __instanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_Process'" Register-WMIEvent -Query $query -Action {Write-Host "Nowy proces został utworzony"} |
__InstanceDeletionEvent
Tą klasę używamy gdy chcemy otrzymać powiadomienie o usunięciu instancji. Analogicznie jak powyżej z tą różnicą że otrzymamy powiadomienie o każdym zakończonym procesie.
|
1 2 |
$query = "SELECT * FROM __InstanceDeletionEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_Process'" Register-WMIEvent -Query $query -Action {Write-Host "Proces został zakończony"} |
__InstanceModificationEvent
Ta klasa natomiast jest używana gdy chcemy monitorować zmiany na istniejącej instancji lub zasobie. Na przykład możemy użyć tej klasy gdy chcemy przekazać powiadomienie o zdarzeniu gdy wykorzystanie procesora wykracza poza próg określony przez zapytanie.
|
1 2 |
$query = "SELECT * FROM __InstanceModificationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_Processor' AND TargetInstance.LoadPercentage > 80" Register-WMIEvent -Query $query -Action {Write-Host "Wykorzystanie procesora przekracza 80%"} |
Ogólna składnia WQL dla wewnętrznych zdarzeń WMI:
|
1 2 3 |
SELECT Property_List FROM EventClass WITHIN PollingInterval WHERE TargetInstance ISA WMIClassName AND TargetInstance.WMIClassPropertyName = Value |
W powyższej składni większość słów kluczowych jest znanych z SQL, oprócz słowa WITHIN które jest używane do określenia interwału sondowania dla zdarzeń. Można powiedzieć również że jest to maksymalny odstęp w czasie jaki musi minąć zanim powiadomienie o zdarzeniu zostanie dostarczone.
Wartość określona jest jako liczba w sekundach i jest liczbą zmienną przecinkową. Więc możemy określić wartości mniejszą niż jedna sekunda, trzeba pamiętać jednak że mniejszy niż jedna sekunda np. 0.2 może być przyczyną spowolnienia systemu z względu na intensywne wykorzystywanie zasobów przez zapytanie.
Rejestrując dwa zdarzenia możemy w prosty sposób monitorować podłączanie i odłączanie urządzeń przenośnych, tworząc prosty dziennik zdarzeń w pliku tekstowym.
|
1 2 3 4 5 6 |
$query = "SELECT * FROM __instanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_DiskDrive'" Register-WMIEvent -Query $query -Action { $data = Get-Date $name = $event.SourceEventArgs.NewEvent.TargetInstance.Model $data.ToString() + ", Podłączono urządzenie usb: " + $name.ToString() >> C:\siezka_do_pliku.txt } |
|
1 2 3 4 5 6 |
$query = "SELECT * FROM __instanceDeletionEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_DiskDrive'" Register-WMIEvent -Query $query -Action { $data = Get-Date $name = $event.SourceEventArgs.NewEvent.TargetInstance.Model $data.ToString() + ", Odłączono urządzenie usb: " + $name.ToString() >> I:\siezka_do_pliku.txt } |
Na końcu warto wspomnieć o poleceniu Get-Job którym możemy pobrać wszystkie zarejestrowane zdarzenia WMI, natomiast poleceniem Remove-Job możemy je usunąć.
