PowerShell Get-EventLog로 이벤트 로그 효율적으로 조회하는 방법

PS> Get-EventLog -LogName Application -InstanceId 916

PS> Get-EventLog -LogName Application -InstanceId 916 -Message '*svchost*'

<#
.SYNOPSIS
    이 스크립트는 지정된 시작 및 종료 시간 사이의 모든 이벤트 로그 또는 텍스트 로그 항목을 검색합니다.
.DESCRIPTION
    이 스크립트는 지정된 시간대 내에 마지막으로 작성된 이벤트 로그 및 시간대 내에 날짜/시간 참조를 포함하는 텍스트 로그를 열거합니다. 이 정보를 파일 집합으로 기록하고 흥미로운 로그 파일을 추가 분석을 위해 복사합니다.
.EXAMPLE
    PS> .\Get-EventsFromTimeframe.ps1 -StartTimestamp '01-29-2014 13:25:00' -EndTimeStamp '01-29-2014 13:28:00' -ComputerName COMPUTERNAME
 
    이 예제는 StartTimestamp와 EndTimestamp 사이의 모든 이벤트 로그 항목과 시간대 내에 마지막으로 작성된 파일 또는 시간대 내에 날짜/시간 참조를 포함하는 확장자가 $FileExtension 매개변수 내에 있는 파일을 찾습니다.
.PARAMETER StartTimestamp
 이벤트를 검색하기 시작할 가장 이른 날짜/시간입니다.
.PARAMETER EndTimestamp
 이벤트를 검색하기 시작할 가장 최근 날짜/시간입니다.
.PARAMETER Computername
 검색할 원격(또는 로컬) 컴퓨터의 이름입니다.
.PARAMETER OutputFolderPath
 이벤트를 포함하는 텍스트 파일이 들어갈 폴더의 경로입니다.
.PARAMETER LogAuditFilPath
 로그 파일, 라인 번호 및 일치 유형을 기록할 텍스트 파일의 경로입니다.
.PARAMETER EventLogsOnly
 이벤트 로그에서만 검색하려면 이 스위치 매개변수를 사용하세요.
.PARAMETER LogFilesOnly
 파일 시스템에서 로그만 검색하려면 이 매개변수를 사용하세요.
.PARAMETER ExcludeDirectory
 파일 시스템에서 검색하지 않을 폴더 경로를 지정하세요.
.PARAMETER FileExtension
 파일 시스템에서 검색할 하나 이상의 쉼표로 구분된 파일 확장자 세트를 지정하세요. 이는 기본적으로 'log,txt,wer' 확장자로 설정됩니다.
#>
[CmdletBinding(DefaultParameterSetName = 'Neither')]
param (
    [Parameter(Mandatory)]
    [datetime]$StartTimestamp,
    [Parameter(Mandatory)]
    [datetime]$EndTimestamp,
    [Parameter(ValueFromPipeline,
        ValueFromPipelineByPropertyName)]
    [string]$ComputerName = 'localhost',
    [Parameter()]
 [string]$OutputFolderPath = ".\$Computername",
 [Parameter(ParameterSetName = 'LogFiles')]
 [string]$LogAuditFilePath = "$OutputFolderPath\LogActivity.csv",
 [Parameter(ParameterSetName = 'EventLogs')]
 [switch]$EventLogsOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
    [switch]$LogFilesOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$ExcludeDirectory,
 [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$FileExtension = @('log', 'txt', 'wer')
)
 
begin {
 if (!$EventLogsOnly.IsPresent) {
 ## 기준을 충족하는 로그 파일을 저장할 로컬 디렉터리 생성
 $LogsFolderPath = "$OutputFolderPath\logs"
 if (!(Test-Path $LogsFolderPath)) {
 mkdir $LogsFolderPath | Out-Null
 }
 }
 
 function Add-ToLog($FilePath,$LineText,$LineNumber,$MatchType) {
 $Audit = @{
 'FilePath' = $FilePath;
 'LineText' = $LineText
 'LineNumber' = $LineNumber
 'MatchType' = $MatchType
 }
 [pscustomobject]$Audit | Export-Csv -Path $LogAuditFilePath -Append -NoTypeInformation
 }
}
 
process {
 
    ## 사용자가 이벤트 로그 항목을 찾기를 원할 때만 실행
    if (!$LogFilesOnly.IsPresent) {
 ## 최소한 하나의 이벤트를 포함하는 모든 이벤트 로그 이름 찾기
 $Logs = (Get-WinEvent -ListLog * -ComputerName $ComputerName | where { $_.RecordCount }).LogName
 $FilterTable = @{
 'StartTime' = $StartTimestamp
 'EndTime' = $EndTimestamp
 'LogName' = $Logs
 }
 
 ## 시작 및 종료 타임스탬프 사이에 있는 모든 이벤트 로그의 모든 이벤트 찾기
 $Events = Get-WinEvent -ComputerName $ComputerName -FilterHashtable $FilterTable -ea 'SilentlyContinue'
 Write-Verbose "Found $($Events.Count) total events"
 
 ## 속성을 사용하기 편한 형식으로 변환하고 각 이벤트를 이벤트 로그 텍스트 파일에 추가
 $LogProps = @{ }
 [System.Collections.ArrayList]$MyEvents = @()
 foreach ($Event in $Events) {
 $LogProps.Time = $Event.TimeCreated
 $LogProps.Source = $Event.ProviderName
 $LogProps.EventId = $Event.Id
 if ($Event.Message) {
 $LogProps.Message = $Event.Message.Replace("<code>n", '|').Replace("</code>r", '|')
 }
 $LogProps.EventLog = $Event.LogName
 $MyEvents.Add([pscustomobject]$LogProps) | Out-Null
 }
 $MyEvents | sort Time | Export-Csv -Path "$OutputFolderPath\eventlogs.txt" -Append -NoTypeInformation
 }
 
 ## 사용자가 로그 파일을 찾기를 원할 때만 실행
 if (!$EventLogsOnly.IsPresent) {
        ## 원격 컴퓨터의 모든 원격 관리 공유 열거. 실제 드라이브를 열거하는 대신에 이 작업을 수행합니다.
        ## 드라이브가 있을 수 있지만 공유가 없을 수 있으므로 드라이브에 액세스할 수 없습니다.
 $Shares = Get-WmiObject -ComputerName $ComputerName -Class Win32_Share | where { $_.Path -match '^\w{1}:\\$' }
 [System.Collections.ArrayList]$AccessibleShares = @()
 ## 모든 원격 관리 공유에 액세스할 수 있도록 확인
 foreach ($Share in $Shares) {
 $Share = "\\$ComputerName\$($Share.Name)"
 if (!(Test-Path $Share)) {
 Write-Warning "Unable to access the '$Share' share on '$Computername'"
 } else {
 $AccessibleShares.Add($Share) | Out-Null 
 }
 }
 
 $AllFilesQueryParams = @{
 Path = $AccessibleShares
 Recurse = $true
 Force = $true
 ErrorAction = 'SilentlyContinue'
 File = $true
 }
 ## $ExcludeDirectory 매개변수에 지정된 모든 디렉터리를 로그 파일 검색에서 제외
 if ($ExcludeDirectory) {
 $AllFilesQueryParams.ExcludeDirectory = $ExcludeDirectory 
 }
 ## 다양한 날짜/시간 형식을 검색하기 위해 정규식 문자열 생성
 ## 이는 각 텍스트 파일에서 날짜/시간 문자열을 검색하는 데 사용됩니다.
 ##TODO: Jan, Feb, Mar 등과 일치하는 기능 추가
 $DateTimeRegex = "($($StartTimestamp.Month)[\\.\-/]?$($StartTimestamp.Day)[\\.\-/]?[\\.\-/]$($StartTimestamp.Year))|($($StartTimestamp.Year)[\\.\-/]?$($StartTimestamp.Month)[\\.\-/]?[\\.\-/]?$($StartTimestamp.Day))"
 ## 콘텐츠가 있는 쿼리 매개변수와 일치하는 모든 파일 열거
 Get-ChildItem @AllFilesQueryParams | where { $_.Length -ne 0 } | foreach {
 try {
 Write-Verbose "Processing file '$($_.Name)'"
 ## 마지막으로 작성된 시간이 지정된 시간대 내에 있는 경우 파일 기록. 이는 날짜/시간 타임스탬프를 기록하지 않을 수 있지만 사용자가 찾으려는 이벤트에 여전히 관련될 수 있는 로그 파일을 찾습니다.
 ## 찾으려는 확장자 세트와 일치하며 실제로 일반 텍스트 파일인 경우.
 if (($_.LastWriteTime -ge $StartTimestamp) -and ($_.LastWriteTime -le $EndTimestamp)) {
 Write-Verbose "Last write time within timeframe for file '$($_.Name)'"
 Add-ToLog -FilePath $_.FullName -MatchType 'LastWriteTime'
 }
 ## 파싱하기 전에 텍스트 파일이 일반 텍스트인지 확인하기 위해 Get-Content를 사용합니다.
 ## 텍스트 파일의 내용에서 시간대에 대한 참조를 확인합니다.
 if ($FileExtension -contains $_.Extension.Replace('.','') -and !((Get-Content $_.FullName -Encoding Byte -TotalCount 1024) -contains 0)) {
 ## 일치하는 모든 줄을 감사 파일에 기록합니다.
 Write-Verbose "Checking log file '$($_.Name)' for date/time match in contents"
 $LineMatches = Select-String -Path $_.FullName -Pattern $DateTimeRegex
 if ($LineMatches) {
 Write-Verbose "Date/time match found in file '$($_.FullName)'"
 ## 출력 로그 디렉토리 내에서 원격 컴퓨터의 로그 파일과 동일한 경로를 만들고
 foreach ($Match in $LineMatches) {
 Add-ToLog -FilePath $_.FullName -LineNumber $Match.LineNumber -LineText $Match.Line -MatchType 'Contents'
 }
 ## 시간대 내에서 이벤트를 포함하는 로그 파일을 해당 경로로 복사합니다.
 ## 이는 255자를 초과하는 파일 경로가 있는 경우 작동하지 않습니다.
 ##TODO: 긴 경로 지원이 구현되면 오류 작업 제거
 $Trim = $_.FullName.Replace("\\$Computername\", '')
 $Destination = "$OutputFolderPath\$Trim"
 if (!(Test-Path $Destination)) {
 ##TODO: 긴 경로 지원이 구현되면 오류 작업 제거
 mkdir $Destination -ErrorAction SilentlyContinue | Out-Null
 }
 Copy-Item -Path $_.FullName -Destination $Destination -ErrorAction SilentlyContinue -Recurse
 }
 }
 } catch {
 Write-Warning $_.Exception.Message 
 }
 }
 }
}