get-winevent：使用属性

Question

我尝试学习powershell来自动化一些日常任务。

我试图从get-winevent函数中找出所有字段名，以了解当我想从多个具有多个条件的eventid中过滤结果时需要做的事情。

在此简单示例中，我希望所有事件4625和4624中的事件，但仅当logontype为2时。结果表应仅包括给定的字段（现在是所有字段，以后是所选字段和一个自定义字段）。 另外，我想在特定列中用“本地”或“远程”和网络数据（IP，用户名，主机名）标记本地登录名和remotelogins。

Get-winevent -FilterHashtable @{Path="c:\temp\test.evtx";} |
Where-Object {$_.Id -eq 4624 -and $_.properties[8].value -in 2} 
-or
{$_.Id -eq 4625}| export-csv ($EventlogTempFolder+$_.basename + ".csv") -encoding UTF8 -NoTypeInformation -force

如何获取所有字段的列表？ 从ID到消息字段中的所有属性字段？

顺便说一句：此代码无法正常工作。 对此表示抱歉。

Answer 1

您的密码

Where-Object {$_.Id -eq 4624 -and $_.properties[8].value -in 2} 
-or
{$_.Id -eq 4625}

从Get-Help Where-Object

Where-Object [-FilterScript] <ScriptBlock> [-InputObject <PSObject>] [<CommonParameters>]

...

Starting in Windows PowerShell 3.0, there are two different ways to construct a Where-Object 
command. Script block . You can use a script block to specify the property name, a comparison 
operator, and a property value. Where-Object returns all objects for which the script block 
statement is true.

For example, the following command gets processes in the Normal priority class, that is, 
processes where the value of the PriorityClass property equals Normal.

`Get-Process | Where-Object {$_.PriorityClass -eq "Normal"}`

问题

的Where-Object小命令只接受单一脚本块（在该位{}括号）

固定

Where-Object {
    ($_.Id -eq 4624 -and $_.properties[8].value -in 2)
    -or
    $_.Id -eq 4625
}