Windows 이벤트 뷰어 XML을 활용해서 접속한 사용자 필터 검색하기

윈도우즈 이벤트 뷰어(Event Viewer)에서 특정 사용자의 로그인 이력을 필터링하여 찾는 방법은 다음과 같습니다. Windows 이벤트 뷰어를 사용하면 다양한 이벤트 로그를 확인할 수 있으며, 로그인 이벤트는 주로 보안 로그(Security Log)에 기록됩니다.

 

[단계별 가이드]

1. 이벤트 뷰어 열기:
Win + R 키를 눌러 실행 창을 엽니다.
eventvwr을 입력하고 Enter 키를 눌러 이벤트 뷰어를 엽니다.

 

 

2. 보안 로그로 이동:
왼쪽 패널에서 Windows 로그 > 보안을 클릭합니다.

(로그인 이력은 보안로그에 있습니다)

3. 필터링 설정:
XML 탭으로 이동합니다.
XML 필터를 직접 편집하여 특정 사용자를 필터링합니다. 다음과 같은 XML 코드를 추가합니다:

[xml]

<QueryList>
  <Query Id="0" Path="Security">
    <Select Path="Security">
      *[System[(EventID=4624)]]
      and
      *[EventData[Data[@Name='TargetUserName'] and (Data='사용자 이름')]]
    </Select>
  </Query>
</QueryList>

위 XML 코드에서 EventID=4624은 성공적인 로그인 이벤트를 나타내며, Data='사용자 이름'을 찾고자 하는 특정 사용자 이이벤트 ID 필드에 로그인 이벤트 ID를 입력합니다. 일반적으로 로그인 이벤트는 다음과 같은 이벤트 ID를 가지고 있습니다:
4624: 성공적인 계정 로그온
4625: 실패한 계정 로그온
4672: 특권 사용 로그온
4634: 계정 로그오프

예를들어 성공적인 로그인을 필터링하려면 4624를 입력합니다.

 

 

이 방법을 통해 특정 사용자의 로그인 이력을 이벤트 뷰어에서 효율적으로 필터링하고 확인할 수 있습니다.