Powershell - 获取高级事件日志信息（xml？）

Question

我需要从事件日志中读取特定信息。 例如 - 安全日志，ID 4648。使用简单的“Get-Eventlog”，我无法以简单的方式获取诸如 TargetUserName 或 TargetDomainName 之类的信息 - 仅从 .message 值中获取，但从全文中读取一个/两个信息要困难得多。 我可以从 XML 事件日志中读取它，而不将日志导出到文件吗？

Answer 1

我建议按照此处所述使用： https : //devblogs.microsoft.com/scripting/data-mine-the-windows-event-log-by-using-powershell-and-xml/

在这里： https : //blogs.technet.microsoft.com/ashleymcglone/2013/08/28/powershell-get-winevent-xml-madness-getting-details-from-event-logs/

详细了解您正在寻找的内容，此外您还可以进一步查看Get-EventLog cmdtlet： https ://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.management/get -eventlog?view=powershell-5.1

Answer 2

PowerShell 有一个命令“Get-EventLog”，在这个 URL 中有描述：“ https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.management/get-eventlog?view=powershell- 5.1 "

Answer 3

使用Get-WinEvent cmdlet，您可以获取 XML 事件数据并从那里创建输出。

下面的代码正是这样做的，并返回一个 PsCustomObjects 数组，其中包含找到的所有事件属性。

$result = Get-WinEvent -FilterHashtable @{LogName="Security";Id=4648} -MaxEvents 100 | ForEach-Object {
    # convert the event to XML and grab the Event node
    $eventXml = ([xml]$_.ToXml()).Event
    # create an ordered hashtable object to collect all data
    # add some information from the xml 'System' node first
    $evt = [ordered]@{
        EventDate = [DateTime]$eventXml.System.TimeCreated.SystemTime
        Computer  = $eventXml.System.Computer
    }
    $eventXml.EventData.ChildNodes | ForEach-Object { $evt[$_.Name] = $_.'#text' }
    # output as PsCustomObject. This ensures the $result array can be written to CSV easily
    [PsCustomObject]$evt
}

# output to screen
$result

# output to CSV file
$result | Export-Csv D:\test.csv -NoTypeInformation