Get-WinEvent

Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

Descrizione
-----------
Questo comando ottiene tutti i registri nel computer locale.
    
I registri vengono elencati nell'ordine in cui vengono ottenuti da Get-WinEvent. In genere, i registri classici vengono restituiti per primi, seguiti dai nuovi registri degli eventi di Windows.
    
Poiché sono generalmente presenti più di cento registri eventi, questo parametro richiede un nome di registro o un criterio del nome. Per ottenere tutti i registri, utilizzare *.

C:\PS>get-winevent -listlog Setup | format-list -property *

    
    FileSize                       : 69632
    IsLogFull                      : False
    LastAccessTime                 : 2/14/2008 12:55:12 AM
    LastWriteTime                  : 7/9/2008 3:12:05 AM
    OldestRecordNumber             : 1
    RecordCount                    : 3
    LogName                        : Setup
    LogType                        : Operational
    LogIsolation                   : Application
    IsEnabled                      : True
    IsClassicLog                   : False
    SecurityDescriptor             : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
                                     (A;;0x1;;;S-1-5-32-573)
    LogFilePath                    : %SystemRoot%\System32\Winevt\L
    MaximumSizeInBytes             : 1052672
    LogMode                        : Circular
    OwningProviderName             : Microsoft-Windows-Eventlog
    ProviderNames                  : {Microsoft-Windows-WUSA, Micro
    ProviderLevel                  :
    ProviderKeywords               :
    ProviderBufferSize             : 64
    ProviderMinimumNumberOfBuffers : 0
    ProviderMaximumNumberOfBuffers : 64
    ProviderLatency                : 1000
    ProviderControlGuid            :

Descrizione
-----------
Questi comandi ottengono un oggetto che rappresenta il registro eventi di sistema classico nel computer locale. L'oggetto include informazioni utili sul registro, comprese le dimensioni, il provider del registro eventi, il percorso del file e se è attivato.

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

Descrizione
-----------
Questo comando ottiene i registri eventi solo nel computer Server01 che contiene gli eventi. Molti registri potrebbero essere vuoti. 
    
Il comando utilizza la proprietà RecordCount dell'oggetto EventLogConfiguration restituito da Get-WinEvent quando si utilizza il parametro ListLog.

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
     {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

Descrizione
-----------
I comandi in questo esempio ottengono gli oggetti che rappresentano i registri eventi di Windows PowerShell nei computer Server01, Server02 e Server03. Questo comando utilizza la parola chiave Foreach perché il parametro ComputerName accetta un solo valore.
    
Il primo comando salva i nomi dei computer nella variabile $s.
    
Il secondo comando utilizza un'istruzione Foreach. Per ciascuno dei computer nella variabile $s, esegue il comando nel blocco di script (tra parentesi graffe). Il comando stampa innanzitutto il nome del computer. Esegue quindi un comando Get-WinEvent per ottenere un oggetto che rappresenta il registro di Windows PowerShell.

C:\PS>get-winevent -listprovider *

Descrizione
-----------
Questo comando ottiene i provider dei registri eventi nel computer locale e i registri in cui scrivono, se presenti.

C:\PS>(get-winevent -listlog Application).providernames

Descrizione
-----------
Questo comando ottiene tutti i provider che scrivono nel registro applicazioni nel computer locale.

C:\PS>>get-winevent -listprovider *policy*

Descrizione
-----------
Questo comando ottiene i provider dei registri eventi i cui nomi includono la parola "policy".

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

Descrizione
-----------
Questo comando elenca gli ID evento generati dal provider di eventi Microsoft-Windows-GroupPolicy unitamente alla descrizione dell'evento.
    
Utilizza la proprietà Events dell'oggetto restituito da Get-WinEvent quando si utilizza il parametro ListProvider e le proprietà ID e Description dell'oggetto nella proprietà Events.

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195
    
C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
    3 403
    2 103
    
 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
    2 Warning
  193 Information

Descrizione
-----------
In questo esempio viene illustrato come utilizzare le proprietà degli oggetti evento restituiti da Get-WinEvent per ottenere ulteriori informazioni sugli eventi in un registro eventi.
    
Nel primo comando viene utilizzato il cmdlet Get-WinEvent per ottenere tutti gli eventi nel registro eventi di Windows PowerShell. Vengono quindi salvati nella variabile $events. Il nome del registro è racchiuso tra virgolette perché contiene uno spazio.
    
Nel secondo comando viene utilizzata la proprietà Count delle raccolte di oggetti per trovare il numero di voci nel registro eventi. 
    
Il terzo comando visualizza l'incidenza di ciascun evento nel registro, innanzitutto con gli eventi più frequenti. In questo esempio, l'ID evento 600 è l'evento più frequente.
    
Il quarto comando raggruppa gli elementi in base al valore della relativa proprietà LevelDisplayName per illustrare quanti eventi di errore, avviso e informazione sono presenti nel registro.

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

Descrizione
-----------
Questo comando ottiene gli eventi di errore i cui nomi includono "disk" da tutti i registri eventi del computer e dal registro eventi Microsoft-Windows-Kernel-WHEA.

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

Descrizione
-----------
Questo comando ottiene eventi da una copia del file del registro eventi di Windows PowerShell in una directory di prova. Il percorso è racchiuso tra virgolette perché il nome del registro contiene uno spazio.

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest
    
C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

Descrizione
-----------
Questi comandi ottengono i primi 100 eventi da un file del registro di Traccia eventi per Windows (ETW).

Il primo comando ottiene i 100 eventi meno recenti nel log. Utilizza il cmdlet Get-WinEvent per ottenere eventi dal file Tracelog.etl. Utilizza il parametro MaxEvents per limitare il recupero a 100 eventi. Poiché gli eventi sono elencati nell'ordine in cui sono scritti nel log (dal meno recente), il parametro Oldest è obbligatorio.

Il secondo comando ottiene i 100 eventi più recenti nel log. Utilizza il cmdlet Get-WinEvent per ottenere tutti gli eventi dal file Tracing.etl. Gli eventi
vengono passati al cmdlet Sort-Object che li ordina in ordine decrescente in base al valore della proprietà TimeCreated. Gli eventi ordinati vengono quindi inviati al cmdlet Select-Object per selezionare i 100 eventi più recenti.

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

Descrizione
-----------
In questo esempio viene illustrato come ottenere gli eventi da un file di registro di traccia eventi (con estensione etl) e da una copia del file del registro di Windows PowerShell (con estensione evtx) salvata in una directory di prova.

È possibile combinare più tipi di file in un solo comando. Poiché i file contengono lo stesso tipo di oggetto .NET Framework (un oggetto EventLogRecord), è possibile utilizzare le stesse proprietà per filtrarli.

Si noti che il comando richiede il parametro Oldest perché esegue la lettura da un file con estensione etl, ma il parametro Oldest si applica a entrambi i file.

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

Descrizione
-----------
In questo esempio vengono illustrati diversi metodi di filtro per la selezione di eventi da un registro eventi. Tutti questi comandi ottengono gli eventi che si sono verificati nelle ultime 24 ore dal registro eventi di Windows Powershell.

I metodi dei filtri sono più efficienti dell'utilizzo del cmdlet Where-Object perché i filtri vengono applicati mentre vengono recuperati gli oggetti, piuttosto che recuperare tutti gli oggetti e poi filtrarli.

Poiché le date sono difficili da formulare nei formati XML e XPath, per creare il contenuto XML per la data, viene utilizzata la funzionalità Filtro registro corrente del Visualizzatore eventi. Per ulteriori informazioni su questa funzionalità, vedere la Guida del Visualizzatore eventi.

C:\PS>$date = (get-date).AddDays(-2)
    
C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

Descrizione
-----------
In questo esempio viene utilizzata una tabella hash del filtro per ottenere eventi dal registro delle prestazioni. 
    
Il primo comando utilizza il cmdlet Get-Date e il metodo AddDays per ottenere una data che precede di due giorni la data corrente. La data viene salvata nella variabile $date.
    
Nel secondo comando viene utilizzato il cmdlet Get-WinEvent con il parametro FilterHashTable. Le chiavi nella tabella hash definiscono un filtro che seleziona nel registro delle prestazioni eventi che si sono verificati negli ultimi due giorni e che presentano un ID evento 100. 
    
La chiave LogName specifica il registro eventi, la chiave StartTime specifica la data e la chiave ID specifica l'ID evento.

C:\PS>$starttime = (get-date).adddays(-7)        
    
C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

Descrizione
-----------
In questo esempio viene utilizzata una tabella hash del filtro per trovare errori dell'applicazione Internet Explorer che si sono verificati nell'ultima settimana.
    
Il primo comando ottiene la data che precede di sette giorni la data corrente e l'archivia nella variabile $starttime.
    
Nel secondo comando viene utilizzato il cmdlet Get-WinEvent con il parametro FilterHashTable. Le chiavi nella tabella hash definiscono un filtro che seleziona, dal registro applicazioni, gli eventi scritti dal provider dell'errore dell'applicazione e include la frase "iexplore.exe".
    
La chiave LogName specifica il registro eventi. La chiave ProviderName specifica il provider di eventi, la chiave StartTime specifica la data iniziale degli eventi e la chiave Data specifica il testo nel messaggio dell'evento.