ParseEvtx Processor
已废弃： LYNXUS-15688: 早于面向记录的处理方式，且自初始实现以来维护有限
描述
解析 Windows 事件日志文件 (evtx) 的内容并将生成的 XML 写入 FlowFile
标签
属性
| 名称 | 默认值 | 可选值 | 描述 |
|---|---|---|---|
| Granularity | Chunk |
| 事件日志中遇到的每个记录、块或文件的输出FlowFile |
关系 (Relationships)
| 名称 | 描述 | 自动终止 |
|---|---|---|
bad chunk | 任何坏的记录块都将以原始二进制形式传输到此关系中 | 否 |
failure | 任何在转换过程中遇到异常的 FlowFile 都将被转移到此关系中，并完成尽可能多的解析 | 否 |
original | 未修改的输入FlowFile将被传输到这个关系中 | 否 |
success | 任何已成功从 evtx 转换为 XML 的 FlowFile | 否 |
读取的 FlowFile 属性
| 名称 | 描述 |
|---|---|
filename | evtx 文件的文件名 |
写入的 FlowFile 属性
| 名称 | 描述 |
|---|---|
filename | 输出文件名 |
mime.type | 输出文件类型（成功和失败关系的 application/xml、坏块的原始值和原始关系） |
状态管理
该组件不存储状态。
受限 (Restricted)
该组件不受限。
输入要求
该组件要求有传入连接。
详细说明
ParseEvtx
说明
该 Processor 用于解析二进制 evtx 格式的 Windows 事件日志。输入 FlowFile 的内容应为 evtx 文件。该 Processor 有 4 个输出：
- 未修改的原始 FlowFile
- 按配置的粒度解析得到的 XML
- 解析失败（含部分输出）
- 二进制格式的格式错误块
输出 XML 示例：
<?xml version="1.0"?>
<Events>
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Service Control Manager" Guid="{555908d1-a6d7-4695-8e1e-26931d2012f4}" Ev
entSourceName="Service Control Manager"/>
<EventID Qualifiers="16384">7036</EventID>
<Version>0</Version>
<Level>4</Level>
<Task>0</Task>
<Opcode>0</Opcode>
<Keywords>0x8080000000000000</Keywords>
<TimeCreated SystemTime="2016-01-08 16:49:47.518"/>
<EventRecordID>780</EventRecordID>
<Correlation ActivityID="" RelatedActivityID=""/>
<Execution ProcessID="480" ThreadID="596"/>
<Channel>System</Channel>
<Computer>win7-pro-vm</Computer>
<Security UserID=""/>
</System>
<EventData>
<Data Name="param1">Workstation</Data>
<Data Name="param2">running</Data>
<Binary>TABhAG4AbQBhAG4AVwBvAHIAawBzAHQAYQB0AGkAbwBuAC8ANAAAAA==</Binary>
</EventData>
</Event>
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Service Control Manager" Guid="{555908d1-a6d7-4695-8e1e-26931d2012f4}"
EventSourceName="Service Control Manager"/>
<EventID Qualifiers="16384">7036</EventID>
<Version>0</Version>
<Level>4</Level>
<Task>0</Task>
<Opcode>0</Opcode>
<Keywords>0x8080000000000000</Keywords>
<TimeCreated SystemTime="2016-01-08 16:49:47.535"/>
<EventRecordID>781</EventRecordID>
<Correlation ActivityID="" RelatedActivityID=""/>
<Execution ProcessID="480" ThreadID="576"/>
<Channel>System</Channel>
<Computer>win7-pro-vm</Computer>
<Security UserID=""/>
</System>
<EventData>
<Data Name="param1">Cryptographic Services</Data>
<Data Name="param2">running</Data>
<Binary>QwByAHkAcAB0AFMAdgBjAC8ANAAAAA==</Binary>
</EventData>
</Event>
</Events>