監視forwardedEvents Windows日志

Question

我正在嘗試調試一個問題，其中使用splunk轉發器拾取了轉發的Windows事件，但要花費30分鍾才能通過系統。

我可以生成一個唯一事件，並希望確定它何時到達轉發的事件日志。 我可以運行get-winevent並以這種方式查找它，但是事件文件太大，以至於可能需要花費很長時間來解析。 我想要以某種方式觀看事件日志流等待我的輸入。

有任何想法嗎？

Answer 1

不過，也許不是您所需要的：

    #function fun {
    $s = { 


    $now = Get-Date
    $yesterday = $now.AddDays(-1)

    $rh = Read-Host "Today -- Yesterday"
    if ($rh -like "Today") {

    Get-WinEvent -LogName "System" | ? {$_.TimeCreated.ToString().Split(" ")[0] -like $now.ToString().Split(" ")[0] } 
    $rerun = read-host "Rerun Script?"
    if ($rerun -eq "Y"){&$s}
    }

    if ($rh -like "Yesterday") {

    Get-WinEvent -LogName "System" | ? {$_.TimeCreated.ToString().Split(" ")[0] -like $yesterday.ToString().Split(" ")[0] } 
$rerun = read-host "Rerun Script?"    
if ($rerun -eq "Y"){&$s}
    }

    else {}
    }
    &$s
    #}fun

如果在“重新運行腳本”之后按Y鍵。 程序將返回開始