使用 PowerShell 查询 Windows 事件日志

Windows 事件日志是管理员跟踪操作系统、其组件或程序记录的错误、警告和其他信息报告的重要工具。您可以使用事件查看器图形 MMC 管理单元 (

eventvwr.msc

) 查看 Windows 事件日志。在某些情况下，使用 PowerShell 解析和分析事件日志中的信息要方便得多。在本文中，您将了解如何使用 Get-WinEvent cmdlet 从 Windows 事件日志中获取信息。

Windows 中当前有两个用于访问事件日志条目的 cmdlet：Get-EventLog 和 Get-WinEvent。 我们建议您在大多数情况下使用 Get-WinEvent，因为它的效率更高，特别是在需要处理来自远程计算机的大量事件的情况下。 Get-EventLog cmdlet 已弃用，用于在早期版本的 Windows 中获取日志。此外，最新版本的 PowerShell Core 7.x 不支持 Get-EventLog。

Get-WinEvent：使用 PowerShell 搜索事件日志

要使用 Get-WinEvent 命令，您必须以管理员身份运行 PowerShell。如果您尝试以非管理员用户身份运行 Get-WinEvent，您将无法访问某些日志，包括安全日志。

要从特定日志获取事件列表，您必须指定其名称。例如，以下命令列出系统日志中的最后 20 个事件：

Get-WinEvent -LogName Application -MaxEvents 20

系统、应用程序、安全或设置日志是最常查询的日志。您还可以指定其他日志名称。您可以使用以下命令获取 Windows 中事件日志的完整列表：

Get-WinEvent -ListLog *

例如，要查看计算机上的 RDP 连接历史记录，您必须指定

Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational

日志：

Get-WinEvent -LogName Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational

或者您可以从 OpenSSH/操作日志中获取 Windows 中的 SSH 连接日志：

Get-WinEvent -LogName OpenSSH/Operational

您还可以一次从多个日志中选择事件。例如，如果您想从过去 24 小时的系统和应用程序日志中获取有关错误和警告的信息，请使用以下代码：

$StartDate = (Get-Date) - (New-TimeSpan -Day 1)
Get-WinEvent Application,System | Where-Object {($_.LevelDisplayName -eq "Error" -or $_.LevelDisplayName -eq "Warning") -and ($_.TimeCreated -ge $StartDate )}

您可以使用Select-Object或Format-Table cmdlet 仅显示特定事件字段：

Get-WinEvent -LogName System | Format-Table Machinename, TimeCreated, Id, UserID

您可以进一步处理从事件日志中获得的数据。在本例中，我们将立即将用户名转换为 SID：

Get-WinEvent -filterhash @{Logname = 'system'} |
Select-Object @{Name="Computername";Expression = {$_.machinename}},@{Name="UserName";Expression = {$_.UserId.translate([System.Security.Principal.NTAccount]).value}}, TimeCreated

使用 FilterHashtable 选项快速搜索事件

上述使用Where-Object从事件查看器日志中过滤特定事件的方法可能很容易理解，但速度非常慢，特别是当您想要搜索大量事件时。在大多数情况下，最好使用 FilterHashtable 选项来使用事件查看器服务器端过滤。

现在，我们尝试使用Where-Object 和 FilterHashtable 生成 30 天内的错误和警告列表。然后我们将使用

Measure-Command

比较这两个 PowerShell 命令的执行时间：

$StartDate = (Get-Date).AddDays(-30)

首先，我们使用Where-Object过滤器检查命令的执行时间：

(Measure-Command {Get-WinEvent Application,System | Where-Object {($_.LevelDisplayName -eq "Error" -or $_.LevelDisplayName -eq "Warning") -and ($_.TimeCreated -ge $StartDate )}}).TotalMilliseconds

与 FilterHashtable 相同的命令：

(Measure-Command {Get-WinEvent -FilterHashtable @{LogName = 'System','Application'; Level =2,3; StartTime=$StartDate }}).TotalMilliseconds

此示例显示 FilterHashtable 事件过滤命令比通常的Where-Object 过滤器快 30 倍（

2.5

秒 vs

76

秒）。

如果需要按 EventID 查找事件，请使用以下带有 FilterHashtable 参数的命令：

Get-WinEvent -FilterHashtable @{logname='System';id=1074}|ft TimeCreated,Id,Message

在此示例中，我们收到了最新的 Windows 重新启动和关闭事件，使我们能够确定谁重新启动或关闭了 Windows 计算机。

FilterHashtable 参数允许您按以下事件属性进行过滤：

LogName
ProviderName
Path
Keywords (use 9007199254740992 to search for successful events and 4503599627370496 for failed ones)
ID
Level (1=FATAL, 2=ERROR, 3=Warning, 4=Information, 5=DEBUG, 6=TRACE, 0=Info)
StartTime
EndTime
UserID (user’s SID)
Data

使用关键字 9007199254740992 搜索成功的事件，使用关键字 4503599627370496 搜索失败的事件。

以下是搜索特定时间段内的事件的示例：

Get-WinEvent -FilterHashTable @{LogName='System'; StartTime=(get-date).AddDays(-7); EndTime=(get-date).AddHours(-1); ID=1234}

如果您想在事件描述中查找特定文本，可以使用以下命令：

Get-WinEvent -FilterHashtable @{logname='System'}|Where {$_.Message -like "*USB*"}

使用 FilterXml 进行高级 Get-WinEvent 过滤

带有 FilterHashtable 选项的 Get-WinEvent 筛选器有一些限制。如果您需要使用包含多个条件的复杂查询来选择事件，则需要使用 FilterXml 标志，它允许您使用 XML 查询进行选择。与 FilterHashtable 类似，FilterXml 过滤器是服务器端的。这意味着您很快就能得到结果。

例如，以下是从系统日志中获取过去 30 天最新错误的另一种方法：

$xmlQuery = @'
<QueryList>
<Query Id="0" Path="System">
<Select Path="System">*[System[(Level=2 or Level=3) and TimeCreated[timediff(@SystemTime) &lt;= 2592000000]]]</Select>
</Query>
</QueryList>
'@
Get-WinEvent -FilterXML $xmlQuery

要生成复杂的 XML 查询代码，您可以使用事件查看器图形控制台：

1. 运行命令

   eventvwr.msc

   ;

2. 找到您要创建查询的日志，然后点击过滤当前日志；

   

3. 在过滤器表单中选择所需的查询参数。在此示例中，我想查找特定用户过去 7 天内具有特定 EventID 的事件；

   

4. 要获取 XML 查询代码，请转到 XML 选项卡，然后复制 XPath 代码 (

   CTRL+A

   ,

   CTRL+C

   ）；

   

5. 如有必要，您可以手动编辑此查询。

要将事件列表导出到 CSV 文件，请使用 Export-CSV cmdlet：

$Events= Get-WinEvent -FilterXML $xmlQuery
$events| Export-CSV "C:\ps\FilterSYSEvents.csv" -NoTypeInformation -Encoding UTF8

从远程计算机获取事件日志

要从远程计算机获取事件，只需在 -ComputerName 参数中指定其名称即可：

$computer='mun-dc01'
Get-WinEvent -ComputerName $computer -FilterHashtable @{LogName="System"; StartTime=(get-date).AddHours(-24)} |   select Message,Id,TimeCreated

您可以一次查询多个远程主机以搜索特定事件。您可以从文本文件获取远程计算机的列表：

$servers = Get-Content -Path C:\ps\servers.txt

或者从活动目录：

$servers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows Server*" -and enabled -eq "true"').Name
foreach ($server in $servers) {
Get-WinEvent -ComputerName $server -MaxEvents 5 -FilterHashtable @{
LogName = 'System'; ID= 1234
} | Select-Object -Property ID, MachineName
}

以下是在所有域控制器上搜索用户帐户锁定事件的另一个示例：

$Username = 'a.muller'
Get-ADDomainController -fi * | select -exp hostname | % {
$GweParams = @{
'Computername' = $_
'LogName' = 'Security'
'FilterXPath' = "*[System[EventID=4740] and EventData[Data[@Name='TargetUserName']='$Username']]"
}
$Events = Get-WinEvent @GweParams
$Events | foreach {$_.Computer + " " +$_.Properties[1].value + ' ' + $_.TimeCreated}
}