教程 Powershell - 筛选 Windows 事件日志

您想了解如何使用 Powershell 筛选 Windows 事件日志吗？在本教程中，我们将向您展示如何使用命令行筛选事件日志。

• Windows 2012 R2 • Windows 2016 • Windows 2019 • Windows 2022 • Windows 10 • Windows 11

设备列表

在这里，您可以找到用于创建本教程的设备列表。

设备列表

此链接还将显示用于创建本教程的软件列表。

教程 Powershell – 筛选 Windows 事件日志

启动提升的 Powershell 命令行。

列出所有日志文件。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

获取所有日志文件的摘要。

Copy to Clipboard

获取记录大于 0 的所有已启用日志文件的摘要。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

LogName                                                                        RecordCount IsEnabled IsClassicLog  LogMode        LogType
-------                                                                        ----------- --------- ------------  -------        -------
Windows PowerShell                                                                    1111      True         True Circular Administrative
System                                                                                5465      True         True Circular Administrative
Security                                                                              3950      True         True Circular Administrative
Application                                                                            698      True         True Circular Administrative
Microsoft-Windows-WinINet-Config/ProxyConfigChanged                                      1      True        False Circular    Operational
Microsoft-Windows-WindowsUpdateClient/Operational                                       53      True        False Circular    Operational
Microsoft-Windows-Windows Firewall With Advanced Security/Firewall                     454      True        False Circular    Operational

列出所有日志提供程序名称。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

列出特定日志提供程序上可用的事件类型。

Copy to Clipboard

列出经典日志文件的事件。

Copy to Clipboard

列出新式日志文件的事件。

Copy to Clipboard

使用日志名称筛选事件。

Copy to Clipboard

使用日志名称和事件 ID 筛选事件。

Copy to Clipboard

筛选具有特定开始日期的事件。

Copy to Clipboard

筛选具有特定开始日期和结束日期的事件。

Copy to Clipboard

筛选特定时间间隔内的事件。

Copy to Clipboard

有多种方法可以筛选日期和时间。

Copy to Clipboard

使用错误级别筛选事件。

Copy to Clipboard

使用消息内容筛选事件。

Copy to Clipboard

列出可用于筛选事件的所有字段。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

TypeName: System.Diagnostics.Eventing.Reader.EventLogRecord

Name                 MemberType   Definition
----                 ----------   ----------
Dispose              Method       void Dispose(), void IDisposable.Dispose()
Equals               Method       bool Equals(System.Object obj)
FormatDescription    Method       string FormatDescription(), string FormatDescription(System.Collections.Generic.IEnumerable[System.Object] values)
GetHashCode          Method       int GetHashCode()
GetPropertyValues    Method       System.Collections.Generic.IList[System.Object] GetPropertyValues(System.Diagnostics.Eventing.Reader.EventLogPropertySelector propertySelector)
GetType              Method       type GetType()
ToString             Method       string ToString()
ToXml                Method       string ToXml()
Message              NoteProperty string Message=An account failed to log on....
ActivityId           Property     System.Nullable[guid] ActivityId {get;}
Bookmark             Property     System.Diagnostics.Eventing.Reader.EventBookmark Bookmark {get;}
ContainerLog         Property     string ContainerLog {get;}
Id                   Property     int Id {get;}
Keywords             Property     System.Nullable[long] Keywords {get;}
KeywordsDisplayNames Property     System.Collections.Generic.IEnumerable[string] KeywordsDisplayNames {get;}
Level                Property     System.Nullable[byte] Level {get;}
LevelDisplayName     Property     string LevelDisplayName {get;}
LogName              Property     string LogName {get;}
MachineName          Property     string MachineName {get;}
MatchedQueryIds      Property     System.Collections.Generic.IEnumerable[int] MatchedQueryIds {get;}
Opcode               Property     System.Nullable[int16] Opcode {get;}
OpcodeDisplayName    Property     string OpcodeDisplayName {get;}
ProcessId            Property     System.Nullable[int] ProcessId {get;}
Properties           Property     System.Collections.Generic.IList[System.Diagnostics.Eventing.Reader.EventProperty] Properties {get;}
ProviderId           Property     System.Nullable[guid] ProviderId {get;}
ProviderName         Property     string ProviderName {get;}
Qualifiers           Property     System.Nullable[int] Qualifiers {get;}
RecordId             Property     System.Nullable[long] RecordId {get;}
RelatedActivityId    Property     System.Nullable[guid] RelatedActivityId {get;}
Task                 Property     System.Nullable[int] Task {get;}
TaskDisplayName      Property     string TaskDisplayName {get;}
ThreadId             Property     System.Nullable[int] ThreadId {get;}
TimeCreated          Property     System.Nullable[datetime] TimeCreated {get;}
UserId               Property     System.Security.Principal.SecurityIdentifier UserId {get;}
Version              Property     System.Nullable[byte] Version {get;}

获取事件的所有字段的名称和值。

Copy to Clipboard

祝贺！您可以使用 Powershell 筛选 Windows 日志事件。

Powershell – Filtering Windows 事件日志

Powershell – Filtering Windows 事件日志

设备列表

相关教程 – 电源壳

教程 Powershell – 筛选 Windows 事件日志

Powershell – Filtering Windows 事件日志

Powershell – Filtering Windows 事件日志

设备列表

相关教程 – 电源壳

教程 Powershell – 筛选 Windows 事件日志

Related Posts