事件日志中事件的唯一標識符

Question

我有一個Windows事件日志文件（.evt / .evtx），我想使用Power Shell從“事件日志”中選擇一個特定的事件。 我看到像這樣的cmdlet

$provider = Get-WinEvent -listprovider $EventSource
$ProviderEvent = $provider.events | Where-Object {($_.ID -eq 4)}

查詢事件日志，但是在我的.evtx中，有多個具有相同ID的事件。

因此，我的問題是-如何確定指向單個事件（使用哪些字段）？

Answer 1

檢查RecordId屬性：

$provider.events | Where-Object {$_.ID -eq 4} | foreach {$_.RecordId}