Consulta los registros de eventos de forma eficiente con PowerShell Get-EventLog

PS> Get-EventLog -LogName Application -InstanceId 916

PS> Get-EventLog -LogName Application -InstanceId 916 -Message '*svchost*'

<#
.SINOPSIS
    Este script busca en una computadora con Windows todas las entradas de registros de eventos o registros de texto
    entre un tiempo de inicio y fin especificado.
.DESCRIPCIÓN
    Este script enumera todos los registros de eventos dentro de un período de tiempo especificado y todos los registros de texto
    que tienen un tiempo de última escritura dentro del período o contienen una línea que tiene una fecha/hora
    referencia dentro del período. Registra esta información en un conjunto de archivos y copia
    cualquier archivo de registro interesante para un análisis adicional.
.EJEMPLO
    PS> .\Get-EventsFromTimeframe.ps1 -StartTimestamp '01-29-2014 13:25:00' -EndTimeStamp '01-29-2014 13:28:00' -ComputerName NOMBREDELCOMPUTADOR

    Este ejemplo encuentra todas las entradas de registros de eventos entre StartTimestamp y EndTimestamp y cualquier archivo
    con una extensión dentro del parámetro $FileExtension que ya sea fue escrito por última vez dentro del período
    o contiene una línea con una referencia de fecha/hora dentro del período.
.PARÁMETRO StartTimestamp
    La fecha/hora más temprana desde la cual desea comenzar a buscar eventos.
.PARÁMETRO EndTimestamp
    La fecha/hora más reciente desde la cual desea comenzar a buscar eventos.
.PARÁMETRO Computername
    El nombre de la computadora remota (o local) en la que desea buscar.
.PARÁMETRO OutputFolderPath
    La ruta de la carpeta que contendrá los archivos de texto que contendrán los eventos.
.PARÁMETRO LogAuditFilPath
    La ruta al archivo de texto que documentará el archivo de registro, el número de línea y el tipo de coincidencia
    con los registros que coincidieron.
.PARÁMETRO EventLogsOnly
    Utilice este interruptor si solo desea buscar en los registros de eventos.
.PARÁMETRO LogFilesOnly
    Utilice este parámetro si solo desea buscar registros en el sistema de archivos.
.PARÁMETRO ExcludeDirectory
    Si está buscando en el sistema de archivos, especifique las rutas de las carpetas que desea omitir.
.PARÁMETRO FileExtension
    Especifique uno o más conjuntos de extensiones de archivos delimitados por comas que desea buscar en el sistema de archivos.
    Esto se establece por defecto en extensiones 'log, txt, wer'.
#>
[CmdletBinding(DefaultParameterSetName = 'Neither')]
param (
    [Parameter(Mandatory)]
    [datetime]$StartTimestamp,
    [Parameter(Mandatory)]
    [datetime]$EndTimestamp,
    [Parameter(ValueFromPipeline,
        ValueFromPipelineByPropertyName)]
    [string]$ComputerName = 'localhost',
    [Parameter()]
 [string]$OutputFolderPath = ".\$Computername",
 [Parameter(ParameterSetName = 'LogFiles')]
 [string]$LogAuditFilePath = "$OutputFolderPath\LogActivity.csv",
 [Parameter(ParameterSetName = 'EventLogs')]
 [switch]$EventLogsOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
    [switch]$LogFilesOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$ExcludeDirectory,
 [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$FileExtension = @('log', 'txt', 'wer')
)
 
begin {
 if (!$EventLogsOnly.IsPresent) {
 ## Crea el directorio local donde almacenar los archivos de registro que cumplieron con los criterios
 $LogsFolderPath = "$OutputFolderPath\logs"
 if (!(Test-Path $LogsFolderPath)) {
 mkdir $LogsFolderPath | Out-Null
 }
 }
 
 function Add-ToLog($FilePath,$LineText,$LineNumber,$MatchType) {
 $Audit = @{
 'FilePath' = $FilePath;
 'LineText' = $LineText
 'LineNumber' = $LineNumber
 'MatchType' = $MatchType
 }
 [pscustomobject]$Audit | Export-Csv -Path $LogAuditFilePath -Append -NoTypeInformation
 }
}
 
process {
 
    ## Ejecutar solo si el usuario desea encontrar entradas de registros de eventos
    if (!$LogFilesOnly.IsPresent) {
 ## Encuentra todos los nombres de registros de eventos que contienen al menos 1 evento
 $Logs = (Get-WinEvent -ListLog * -ComputerName $ComputerName | where { $_.RecordCount }).LogName
 $FilterTable = @{
 'StartTime' = $StartTimestamp
 'EndTime' = $EndTimestamp
 'LogName' = $Logs
 }
 
 ## Encuentra todos los eventos en todos los registros de eventos que están entre las marcas de tiempo de inicio y finalización
 $Events = Get-WinEvent -ComputerName $ComputerName -FilterHashtable $FilterTable -ea 'SilentlyContinue'
 Write-Verbose "Found $($Events.Count) total events"
 
 ## Convierte las propiedades a algo más amigable y añade cada evento al archivo de texto del registro de eventos
 $LogProps = @{ }
 [System.Collections.ArrayList]$MyEvents = @()
 foreach ($Event in $Events) {
 $LogProps.Time = $Event.TimeCreated
 $LogProps.Source = $Event.ProviderName
 $LogProps.EventId = $Event.Id
 if ($Event.Message) {
 $LogProps.Message = $Event.Message.Replace("<code>n", '|').Replace("</code>r", '|')
 }
 $LogProps.EventLog = $Event.LogName
 $MyEvents.Add([pscustomobject]$LogProps) | Out-Null
 }
 $MyEvents | sort Time | Export-Csv -Path "$OutputFolderPath\eventlogs.txt" -Append -NoTypeInformation
 }
 
 ## Ejecutar solo si el usuario desea encontrar archivos de registro
 if (!$EventLogsOnly.IsPresent) {
        ## Enumera todos los recursos compartidos de administrador remoto en la computadora remota. Hago esto en lugar de enumerar todas las unidades físicas porque
        ## la unidad puede estar allí y el recurso compartido puede no estar, lo que significa que no puedo llegar a la unidad de todos modos.
 $Shares = Get-WmiObject -ComputerName $ComputerName -Class Win32_Share | where { $_.Path -match '^\w{1}:\\$' }
 [System.Collections.ArrayList]$AccessibleShares = @()
 ## Asegúrate de poder acceder a todos los recursos compartidos de administrador remoto
 foreach ($Share in $Shares) {
 $Share = "\\$ComputerName\$($Share.Name)"
 if (!(Test-Path $Share)) {
 Write-Warning "Unable to access the '$Share' share on '$Computername'"
 } else {
 $AccessibleShares.Add($Share) | Out-Null 
 }
 }
 
 $AllFilesQueryParams = @{
 Path = $AccessibleShares
 Recurse = $true
 Force = $true
 ErrorAction = 'SilentlyContinue'
 File = $true
 }
 ## Agrega cualquier directorio especificado en $ExcludeDirectory para no buscar archivos de registro
 if ($ExcludeDirectory) {
 $AllFilesQueryParams.ExcludeDirectory = $ExcludeDirectory 
 }
 ## Crea la cadena de regex loca que uso para buscar una serie de formatos de fecha/hora diferentes.
 ## Esto se usa en un intento de buscar cadenas de fecha/hora en cada archivo de texto encontrado
 ##TODO: Agregar la capacidad de hacer coincidir con Ene, Feb, Mar, etc.
 $DateTimeRegex = "($($StartTimestamp.Month)[\\.\-/]?$($StartTimestamp.Day)[\\.\-/]?[\\.\-/]$($StartTimestamp.Year))|($($StartTimestamp.Year)[\\.\-/]?$($StartTimestamp.Month)[\\.\-/]?[\\.\-/]?$($StartTimestamp.Day))"
 ## Enumera todos los archivos que coinciden con los parámetros de consulta que tienen contenido
 Get-ChildItem @AllFilesQueryParams | where { $_.Length -ne 0 } | foreach {
 try {
 Write-Verbose "Processing file '$($_.Name)'"
 ## Registra el archivo si la última hora de escritura está dentro del período. Esto encuentra archivos de registro que pueden no registrar un 
 ## sello de fecha/hora pero que aún pueden estar involucrados en el evento que el usuario está tratando de encontrar.
 if (($_.LastWriteTime -ge $StartTimestamp) -and ($_.LastWriteTime -le $EndTimestamp)) {
 Write-Verbose "Last write time within timeframe for file '$($_.Name)'"
 Add-ToLog -FilePath $_.FullName -MatchType 'LastWriteTime'
 }
 ## Si el archivo encontrado coincide con el conjunto de extensiones que estoy tratando de encontrar y realmente es un archivo de texto plano.
 ## Utilizo Get-Content para asegurarme de que sea solo texto plano antes de analizarlo.
 if ($FileExtension -contains $_.Extension.Replace('.','') -and !((Get-Content $_.FullName -Encoding Byte -TotalCount 1024) -contains 0)) {
 ## Verifica el contenido del archivo de texto para referencias a fechas dentro del período
 Write-Verbose "Checking log file '$($_.Name)' for date/time match in contents"
 $LineMatches = Select-String -Path $_.FullName -Pattern $DateTimeRegex
 if ($LineMatches) {
 Write-Verbose "Date/time match found in file '$($_.FullName)'"
 ## Registra todas las líneas coincidentes en el archivo de auditoría.
 foreach ($Match in $LineMatches) {
 Add-ToLog -FilePath $_.FullName -LineNumber $Match.LineNumber -LineText $Match.Line -MatchType 'Contents'
 }
 ## Crea la misma ruta al archivo de registro en la computadora remota dentro del directorio de registro de salida y 
 ## copia el archivo de registro con un evento dentro del período a esa ruta.
 ## Esto no funcionará si se cumple una ruta de archivo superior a 255 caracteres.
 $Trim = $_.FullName.Replace("\\$Computername\", '')
 $Destination = "$OutputFolderPath\$Trim"
 if (!(Test-Path $Destination)) {
 ##TODO: Quitar la acción de error cuando se implemente el soporte de rutas largas
 mkdir $Destination -ErrorAction SilentlyContinue | Out-Null
 }
 Copy-Item -Path $_.FullName -Destination $Destination -ErrorAction SilentlyContinue -Recurse
 }
 }
 } catch {
 Write-Warning $_.Exception.Message 
 }
 }
 }
}