PowerShell事件日志挖掘

有一天，一个正在学习 PowerShell 的人向我提出了一个问题。他无法理解为什么从系统事件日志中提取信息的相对简单的 PowerShell 表达式不起作用。他没有看到错误，但也没有看到他预期的事件。使用 PowerShell 搜索事件日志是一项常见任务。但正如您将看到的，您可能需要更新使用 PowerShell 挖掘事件日志的方法。 PowerShell 世界中的情况发生了变化，有时您可能没有注意到这种微妙的变化。公平地说，其中一些更改可能是由 .NET Framework 和/或 Windows 10 的新版本引起的。以下是我们遇到的情况。

获取事件日志

从一开始我们就使用 Get-EventLog 来搜索系统和应用程序等经典事件日志。这就是我的学生在 Windows PowerShell 中所做的事情。他正在系统事件日志中搜索事件 ID 1074，该事件表示计算机重新启动。他使用的是这样的代码：

Get-EventLog -log system -newest 1000 |
Where-Object {$_.eventid -eq '1074'}  |
Format-Table machinename, username, timegenerated -autosize

从技术上来说这并没有什么问题。我运行了一下，得到了 3 个结果。然后我仔细检查了帮助以确保我没有忘记任何内容。就在那时，我看到了一条说明，指出 Get-EventLog 使用已弃用的 Win32API。该说明还指出，结果可能不准确。因为我知道我已经重新启动计算机超过 3 次，所以这个警告是正确的。我偶尔仍然会启动 Get-EventLog 命令，因为肌肉记忆非常强大。但现在我知道我真的需要改掉这个习惯。

我知道 Get-EventLog 不在 PowerShell 7 中，您必须使用 Get-WinEvent。所以我建议沿着这条路走。

赢奖活动

我首先承认 Get-WinEvent 学习起来有点复杂，但它也更高效。这是一个等效的方法：

Get-WinEvent -filterhash @{Logname = 'system';ID=1074} -MaxEvents 1000 |
Format-Table Machinename,UserID,TimeCreated

当我运行这个程序时，我得到了 97 个事件，这要准确得多。 Get-WinEvent 的输出与 Get-EventLog 不同，因此您需要调整属性名称。但过滤速度更快、更容易。现在我可以尽早过滤事件 ID，而不必依赖Where-Object。

对于这一特定任务来说，一个关键的区别是我们想要显示用户名。但 Get-WinEvent 报告 SID。

幸运的是，该属性包含转换 SID 的方法。这是我修改后的代码。

Get-WinEvent -filterhash @{Logname = 'system';ID=1074} -MaxEvents 1000 |
Select-Object @{Name="Computername";Expression = {$_.machinename}},
@{Name="UserName";Expression = {$_.UserId.translate([System.Security.Principal.NTAccount]).value}}, TimeCreated

Translate() 方法可能并不总是基于 SID 进行解析。例如，我有凭据可以从台式机查询另一台笔记本电脑，但除了通用 SYSTEM 帐户之外，我无法转换 SID。幸运的是，事件日志记录中使用的替换字符串存储在“属性”属性下。

该数组中的最后一项是用户帐户。还有一些其他有用的信息，例如重新启动事件的类型。考虑到这一点，我将修改我的代码，以便可以查询远程计算机。

Get-WinEvent -computer thinkp1 -filterhash @{Logname = 'system';ID=1074} -MaxEvents 1000 |
Select-Object @{Name="Computername";Expression = {$_.machinename}},
@{Name="UserName";Expression = { ($_.properties[-1]).value}}, TimeCreated,
@{Name="Category";Expression = {$_.properties[4].value}}

好多了。

功能时间

最初的代码很可能是定期运行的。因此，不必总是键入代码，而是围绕它创建 PowerShell 函数是明智之举。我已经有了可以运行的 Get-Winevent 表达式，因此它将成为我的函数的中心。我总是强调首先让核心代码在控制台提示符下运行的重要性。然后围绕它构建函数。

因为您希望函数灵活，所以我想了一下我可能需要哪些参数。尽管原始代码是搜索本地计算机的事件日志，但想要搜索远程计算机并不难，而且 Get-WinEvent 支持这一点。以及备用凭证。我决定保留 MaxEvents 参数。但我也想象了我想要查找特定日期之后重新启动事件的情况。

Param(
    [Parameter(Position = 0, ValueFromPipeline)]
    [ValidateNotNullOrEmpty()]
    [Alias("CN")]
    [string]$Computername = $env:COMPUTERNAME,
    [Parameter(HelpMessage = "Find restart events since this date and time.")]
    [ValidateNotNullOrEmpty()]
    [Alias("Since")]
    [datetime]$After,
    [int64]$MaxEvents,
    [PSCredential]$Credential
)

您会注意到我保留了相同的参数名称。没有理由重新发明轮子。虽然我添加了一些参数别名。我的 Get-WinEvent 命令将使用过滤哈希表，因此我将即时构建它。

$filter = @{
    Logname = "System"
    ID      = 1074
}
if ($After) {
    Write-Verbose "[$((Get-Date).TimeofDay) BEGIN  ] Getting restart events after $After"
    $filter.Add("StartTime", $After)
}

下一步是定义一个可以进行 splat 的 Get-WinEvent 参数的哈希表。泼溅并不总是必需的，但在这种情况下它使我的代码保持简单。

$entries = Get-WinEvent @splat

物体，物体，物体

您总是希望函数将对象写入管道。我本可以使用 Get-WinEvent 的本机输出，但原始命令只需要一些属性，所以我也会这样做。我喜欢创建这样的自定义对象：

foreach ($entry in $entries) {
    #resolve the user SID
    Try {
        Write-Verbose "[$((Get-Date).TimeofDay) PROCESS] Translating $($entry.UserId)"
        $user = $entry.UserId.translate([System.Security.Principal.NTAccount]).value
    }
    Catch {
        $user = $entry.properties[-1].value
        #$entry.userid
    }

    [pscustomobject]@{
        PSTypeName   = "RestartEvent"
        Computername = $entry.machinename.ToUpper()
        Datetime     = $entry.TimeCreated
        Username     = $user
        Category     = $entry.properties[4].value
        Process      = $entry.properties[0].value.split()[0].trim()
    }
} #foreach item

出于教育目的，我的功能是使用这两种技术来解析用户 SID。

抛光PowerShell

到目前为止我所拥有的都是有用的。我已更改为使用 Get-WinEvent 来搜索事件日志，并围绕它构建了一个简单、可重用的工具，可以在 PowerShell 提示符下使用它。但是如何对这个功能进行高度改进呢？例如，即使默认输出显示为列表，我知道表视图会更容易阅读。那么有什么办法可以让不同的类别脱颖而出呢？

您会注意到我的自定义哈希表定义了类型名。这样我就可以使用 New-PSFormatXML 创建自定义格式的 ps1xml 文件。在定义函数的 .ps1 文件中，我还将加载格式文件。

Update-FormatData $PSScriptRoot\restartevent.format.ps1xml

在格式文件中，我将按计算机名称对输出进行分组。我还将使用 ANSI 转义序列添加一些颜色编码。

您可以从 Github 获取完整的函数和格式文件。即使您不需要该函数，也可以开始过渡到使用 Get-WinEvent。一开始会有点棘手，但值得你花时间。