我已经启用了文件审计，我希望能够筛选给定的用户操作。 我已经build立了一个非常基本的XMLfilter，但我似乎无法得到它的工作。 我已经有了一些除AccessList以外的事件数据类别，如HandleId和SubjectUserName。
<QueryList> <Query Id="0" Path="Security"> <Select Path="Security"> *[EventData[Data[@Name='AccessList'] and (Data='%%1537')]] </Select> </Query> </QueryList> 我试图find以下内容：
<Event> <EventData> <Data Name="AccessList">%%1537</Data> </EventData> </Event>
任何人可以提供一些指导？
您需要添加
				 在%%1537
	 – 标签

 – 新队

 – 回车
<QueryList> <Query Id="0" Path="Security"> <Select Path="Security"> *[EventData[Data[@Name='AccessList'] and (Data='%%1537
				')]] </Select> </Query> </QueryList>
参考： https ： //social.technet.microsoft.com/Forums/windowsserver/en-US/bd136cf0-fb9e-48a1-ae2f-3cd4290ab973/issue-with-custom-build-xml-query-in-event-viewer？论坛= winserverpowershell