這個指令做什麼?
事件調查:Windows was unable to determine whether new Group Policy settings defined by a network admin。固定提供者 Microsoft-Windows-GroupPolicy;事件 ID 1126。讀取事件證據,不代表偵測到入侵;需結合上下文判讀。 Windows was unable to determine whether new Group Policy settings defined by a network administrator should be enforced for this user or computer because this computer's clock is not synchronized with the clock of one of the domain controllers for the domain. Because of this issue, this computer system may not be in compliance with the network administrator’s requirements, and users of this system may not be able to use some functionality on the network. Windows will periodically attempt to retry this operation, and it is possible that either this system or the domain controller will correct the time settings without intervention by an administrator, so the problem will be corrected. If this issue persists for more than an hour, checking the local system's clock settings to ensure they are accurate and are synchronized with the clocks on the network's domain controllers is one way to resolve this problem. A network administrator may be required to resolve the issue if correcting the local time settings does not address the problem.
PARAMETERS
參數怎麼填?
回溯時數
必填以本次執行時間往前計算;離線 EVTX 也套用時間範圍。 範圍:1~8760。 預設/範例:24。 必填。
24最多回傳筆數
必填限制輸出筆數;不會變更資料來源。 範圍:1~5000。 預設/範例:100。 必填。
100最多讀取候選事件
必填先以提供者、事件 ID、時間查詢,再比對資料欄位;此上限可能截斷結果。 範圍:1~10000。 預設/範例:1000。 必填。
1000事件通道
必填此事件原始通道;不同 Windows 版本可手動調整。通道未啟用時不會自動啟用。 預設/範例:System。 必填。
System離線 EVTX 檔案路徑(選填)
選填填寫後讀取既有 EVTX,不讀取本機通道;空白表示本機。 可留空。
留空;必填時請於執行前設定資料欄位比對方式
必填套用到下方事件專屬欄位;所有非空條件須同時成立。 可選:包含、等於、正規表示式。 必填。
包含事件讀取順序
必填一般日誌可選順序;Analytic/Debug 日誌若要求由舊到新,會自動改採最舊優先。掃描上限會依此順序截斷。 可選:最新優先、最舊優先。 必填。
最新優先SupportInfo1(win:UInt32)
選填僅篩選此事件的 SupportInfo1;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定SupportInfo2(win:UInt32)
選填僅篩選此事件的 SupportInfo2;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定ProcessingMode(win:UInt32)
選填僅篩選此事件的 ProcessingMode;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定ProcessingTimeInMilliseconds(win:UInt32)
選填僅篩選此事件的 ProcessingTimeInMilliseconds;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定ErrorCode(win:UInt32)
選填僅篩選此事件的 ErrorCode;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定ErrorDescription(win:UnicodeString)
選填僅篩選此事件的 ErrorDescription;空白不限制。原始型別 win:UnicodeString,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定其他事件欄位條件 JSON(選填)
選填例如 {"ProcessId":"1234"}。支援此事件的其餘欄位;此物件只用於比對,不執行程式碼。 可留空。
留空;必填時請於執行前設定