使用 PowerShell Get-EventLog 高效查询事件日志

PS> Get-EventLog -LogName Application -InstanceId 916

PS> Get-EventLog -LogName Application -InstanceId 916 -Message '*svchost*'

<#
.簡介
    此腳本在指定的開始和結束時間之間搜索Windows計算機上的所有事件日誌或文本日誌項目。
.描述
    此腳本列舉在指定時間範圍內的所有事件日誌和在時間範圍內具有最後寫入時間的所有文本日誌，
    或包含在時間範圍內具有日期/時間參考的行的文件。它將此信息記錄到一組文件中，
    並將任何有趣的日誌文件複製出來進一步分析。
.示例
    PS> .\Get-EventsFromTimeframe.ps1 -StartTimestamp '01-29-2014 13:25:00' -EndTimeStamp '01-29-2014 13:28:00' -ComputerName COMPUTERNAME
     
    此示例查找開始時間和結束時間之間的所有事件日誌項目和任何具有擴展名的文件，
    擴展名在$FileExtension參數內，該文件在時間範圍內最後被寫入，或者包含時間範圍內的日期/時間參考的行。
.參數 開始時間戳
    希望開始搜索事件的最早日期/時間。
.參數 結束時間戳
    希望開始搜索事件的最新日期/時間。
.參數 電腦名稱
    您要搜索的遠程（或本地）計算機的名稱。
.參數 輸出文件夾路徑
    包含事件的文本文件的文件夾的路徑。
.參數 日誌審計文件路徑
    用於記錄匹配的日誌文件、行號和匹配類型的文本文件的路徑。
.參數 只搜索事件日誌
    如果只想在事件日誌中搜索，請使用此開關參數。
.參數 只搜索日誌文件
    如果只想在文件系統中搜索日誌，請使用此參數。
.參數 排除目錄
    如果在文件系統中搜索，請指定要跳過的任何文件夾路徑。
.參數 文件擴展名
    指定一個或多個以逗號分隔的文件擴展名集，您要在文件系統中搜索。默認為'log，txt，wer'擴展名。
#>
[CmdletBinding(DefaultParameterSetName = 'Neither')]
param (
    [Parameter(Mandatory)]
    [datetime]$StartTimestamp,
    [Parameter(Mandatory)]
    [datetime]$EndTimestamp,
    [Parameter(ValueFromPipeline,
        ValueFromPipelineByPropertyName)]
    [string]$ComputerName = 'localhost',
    [Parameter()]
 [string]$OutputFolderPath = ".\$Computername",
 [Parameter(ParameterSetName = 'LogFiles')]
 [string]$LogAuditFilePath = "$OutputFolderPath\LogActivity.csv",
 [Parameter(ParameterSetName = 'EventLogs')]
 [switch]$EventLogsOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
    [switch]$LogFilesOnly,
    [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$ExcludeDirectory,
 [Parameter(ParameterSetName = 'LogFiles')]
 [string[]]$FileExtension = @('log', 'txt', 'wer')
)
 
begin {
 if (!$EventLogsOnly.IsPresent) {
 ## 創建本地目錄，用於存儲符合條件的所有日誌文件
 $LogsFolderPath = "$OutputFolderPath\logs"
 if (!(Test-Path $LogsFolderPath)) {
 mkdir $LogsFolderPath | Out-Null
 }
 }
 
 function Add-ToLog($FilePath,$LineText,$LineNumber,$MatchType) {
 $Audit = @{
 'FilePath' = $FilePath;
 'LineText' = $LineText
 'LineNumber' = $LineNumber
 'MatchType' = $MatchType
 }
 [pscustomobject]$Audit | Export-Csv -Path $LogAuditFilePath -Append -NoTypeInformation
 }
}
 
process {
 
    ## 只有當用戶想要查找事件日誌項目時才運行
    if (!$LogFilesOnly.IsPresent) {
 ## 查找包含至少1個事件的所有事件日誌名稱
 $Logs = (Get-WinEvent -ListLog * -ComputerName $ComputerName | where { $_.RecordCount }).LogName
 $FilterTable = @{
 'StartTime' = $StartTimestamp
 'EndTime' = $EndTimestamp
 'LogName' = $Logs
 }
 
 ## 查找在開始和結束時間之間的所有事件日誌中的所有事件
 $Events = Get-WinEvent -ComputerName $ComputerName -FilterHashtable $FilterTable -ea 'SilentlyContinue'
 Write-Verbose "Found $($Events.Count) total events"
 
 ## 將屬性轉換為更友好的格式並將每個事件附加到事件日誌文本文件中
 $LogProps = @{ }
 [System.Collections.ArrayList]$MyEvents = @()
 foreach ($Event in $Events) {
 $LogProps.Time = $Event.TimeCreated
 $LogProps.Source = $Event.ProviderName
 $LogProps.EventId = $Event.Id
 if ($Event.Message) {
 $LogProps.Message = $Event.Message.Replace("<code>n", '|').Replace("</code>r", '|')
 }
 $LogProps.EventLog = $Event.LogName
 $MyEvents.Add([pscustomobject]$LogProps) | Out-Null
 }
 $MyEvents | sort Time | Export-Csv -Path "$OutputFolderPath\eventlogs.txt" -Append -NoTypeInformation
 }
 
 ## 只有當用戶想要查找日誌文件時才運行
 if (!$EventLogsOnly.IsPresent) {
        ## 枚舉遠程計算機上的所有遠程管理共享。我這樣做是因為
        ## 驅動器可能存在但共享可能不存在，這意味著我無法訪問驅動器。
 $Shares = Get-WmiObject -ComputerName $ComputerName -Class Win32_Share | where { $_.Path -match '^\w{1}:\\$' }
 [System.Collections.ArrayList]$AccessibleShares = @()
 ## 確保我能訪問所有遠程管理共享
 foreach ($Share in $Shares) {
 $Share = "\\$ComputerName\$($Share.Name)"
 if (!(Test-Path $Share)) {
 Write-Warning "Unable to access the '$Share' share on '$Computername'"
 } else {
 $AccessibleShares.Add($Share) | Out-Null 
 }
 }
 
 $AllFilesQueryParams = @{
 Path = $AccessibleShares
 Recurse = $true
 Force = $true
 ErrorAction = 'SilentlyContinue'
 File = $true
 }
 ## 將$ExcludeDirectory參數中指定的任何目錄添加到不搜索日誌文件的列表中
 if ($ExcludeDirectory) {
 $AllFilesQueryParams.ExcludeDirectory = $ExcludeDirectory 
 }
 ## 創建用於搜索多種不同日期/時間格式的正則表達式字符串。
 ## 這在嘗試在找到的每個文本文件中搜索日期/時間字符串時使用
 ##待辦事項：添加對Jan,Feb,Mar等的匹配能力
 $DateTimeRegex = "($($StartTimestamp.Month)[\\.\-/]?$($StartTimestamp.Day)[\\.\-/]?[\\.\-/]$($StartTimestamp.Year))|($($StartTimestamp.Year)[\\.\-/]?$($StartTimestamp.Month)[\\.\-/]?[\\.\-/]?$($StartTimestamp.Day))"
 ## 枚舉與查詢參數匹配且具有內容的所有文件
 Get-ChildItem @AllFilesQueryParams | where { $_.Length -ne 0 } | foreach {
 try {
 Write-Verbose "Processing file '$($_.Name)'"
 ## 如果最後寫入時間在時間範圍內，記錄文件。這將找到可能不記錄
 ## 日期/時間時間戳但可能仍涉及用戶正在尋找的事件的日誌文件。
 if (($_.LastWriteTime -ge $StartTimestamp) -and ($_.LastWriteTime -le $EndTimestamp)) {
 Write-Verbose "Last write time within timeframe for file '$($_.Name)'"
 Add-ToLog -FilePath $_.FullName -MatchType 'LastWriteTime'
 }
 ## 如果找到的文件與我要查找的擴展名集匹配並且實際上是純文本文件。
 ## 我使用Get-Content僅檢查它是否是純文本文件，然後再解析它。
 if ($FileExtension -contains $_.Extension.Replace('.','') -and !((Get-Content $_.FullName -Encoding Byte -TotalCount 1024) -contains 0)) {
 ## 檢查文本文件的內容是否參考時間範圍中的日期
 Write-Verbose "Checking log file '$($_.Name)' for date/time match in contents"
 $LineMatches = Select-String -Path $_.FullName -Pattern $DateTimeRegex
 if ($LineMatches) {
 Write-Verbose "Date/time match found in file '$($_.FullName)'"
 ## 將所有匹配的行記錄到審計文件中。
 foreach ($Match in $LineMatches) {
 Add-ToLog -FilePath $_.FullName -LineNumber $Match.LineNumber -LineText $Match.Line -MatchType 'Contents'
 }
 ## 在輸出日誌目錄內創建與遠程計算機上的日誌文件相同的路徑，並
 ## 將具有時間範圍內事件的日誌文件複製到該路徑。
 ## 如果遇到255個字符以上的文件路徑，這將無效。
 $Trim = $_.FullName.Replace("\\$Computername\", '')
 $Destination = "$OutputFolderPath\$Trim"
 if (!(Test-Path $Destination)) {
 ##待辦事項：實施長路徑支持時，刪除錯誤操作
 mkdir $Destination -ErrorAction SilentlyContinue | Out-Null
 }
 Copy-Item -Path $_.FullName -Destination $Destination -ErrorAction SilentlyContinue -Recurse
 }
 }
 } catch {
 Write-Warning $_.Exception.Message 
 }
 }
 }
}