Get-WinEvent

Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

Описание
-----------
Эта команда получает все журналы, имеющиеся на локальном компьютере.
    
Журналы указаны в порядке их получения командлетом Get-WinEvent. Как правило, сначала извлекаются классические журналы, а затем — новые журналы обработки событий Windows.
    
Поскольку обычно используется более сотни журналов событий, для этого параметра требуется имя журнала или шаблон имени. Чтобы получить все журналы, используйте значение *.

C:\PS>get-winevent -listlog Setup | format-list -property *

    
    FileSize                       : 69632
    IsLogFull                      : False
    LastAccessTime                 : 2/14/2008 12:55:12 AM
    LastWriteTime                  : 7/9/2008 3:12:05 AM
    OldestRecordNumber             : 1
    RecordCount                    : 3
    LogName                        : Setup
    LogType                        : Operational
    LogIsolation                   : Application
    IsEnabled                      : True
    IsClassicLog                   : False
    SecurityDescriptor             : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
                                     (A;;0x1;;;S-1-5-32-573)
    LogFilePath                    : %SystemRoot%\System32\Winevt\L
    MaximumSizeInBytes             : 1052672
    LogMode                        : Circular
    OwningProviderName             : Microsoft-Windows-Eventlog
    ProviderNames                  : {Microsoft-Windows-WUSA, Micro
    ProviderLevel                  :
    ProviderKeywords               :
    ProviderBufferSize             : 64
    ProviderMinimumNumberOfBuffers : 0
    ProviderMaximumNumberOfBuffers : 64
    ProviderLatency                : 1000
    ProviderControlGuid            :

Описание
-----------
Эти команды получают объект, представляющий классический системный журнал на локальном компьютере. Объект содержит сведения о журнале, в том числе: размер журнала, поставщик журнала событий и путь к файлу, а также индикатор того, включен ли журнал.

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

Описание
-----------
Эта команда извлекает только журналы событий на компьютере Server01, содержащие события. Многие журналы могут быть пустыми. 
    
Эта команда использует свойство RecordCount объекта EventLogConfiguration, возвращаемого командлетом Get-WinEvent при использовании параметра ListLog.

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
     {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

Описание
-----------
В данном примере команда извлекает объекты, представляющие журналы событий Windows PowerShell на трех компьютерах: Server01, Server02 и Server03. В команде используется ключевой слово Foreach, так как параметр ComputerName принимает только одно значение.
    
Первая команда сохраняет имена компьютеров в переменной $s.
    
Во второй команде используется инструкция Foreach. Для каждого из компьютеров, указанных в переменной $s, выполняется команда в блоке скрипта (в фигурных скобках). Сначала команда выводит имя компьютера. Затем она выполняет команду Get-WinEvent для получения объекта, представляющего журнал Windows PowerShell.

C:\PS>get-winevent -listprovider *

Описание
-----------
Эта команда получает список поставщиков журналов событий на локальном компьютере и журналов, в которые они выполняют запись (если есть).

C:\PS>(get-winevent -listlog Application).providernames

Описание
-----------
Эта команда возвращает всех поставщиков, которые выполняют запись в журнал приложений на локальном компьютере.

C:\PS>>get-winevent -listprovider *policy*

Описание
-----------
Эта команда возвращает поставщиков журналов событий, имена которых содержат слово "policy".

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

Описание
-----------
Эта команда возвращает список идентификаторов событий, созданных поставщиком событий Microsoft-Windows-GroupPolicy, и соответствующих описаний событий.
    
В ней используется свойство Events объекта, возвращаемого командлетом Get-WinEvent при использовании параметра ListProvider, а также свойства ID и Description объекта в свойстве Events.

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195
    
C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
    3 403
    2 103
    
 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
    2 Warning
  193 Information

Описание
-----------
В этом примере показано, как с помощью свойств объектов событий, возвращенных командлетом Get-WinEvent, получить сведения о событиях в журнале событий.
    
Первая команда с помощью командлета Get-WinEvent возвращает все события в журнале событий Windows PowerShell. После этого они сохраняются в переменной $events. Имя журнала заключено в кавычки, поскольку оно содержит пробел.
    
Вторая команда использует свойство Count коллекций объектов для определения количества записей в журнале событий. 
    
Третья команда отображает количество экземпляров каждого события в журнале, при этом сначала выводятся самые часто возникающие события. В данном примере чаще всего возникает событие с идентификатором 600.
    
Четвертая команда группирует элементы по значению свойства LevelDisplayName для отображения количества сообщений типа Error, Warning и Information в журнале.

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

Описание
-----------
Эта команда извлекает события типа "Ошибка", имена которых содержат слово "disk", из всех журналов событий на компьютере, а также из журнала событий Microsoft-Windows-Kernel-WHEA.

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

Описание
-----------
Эта команда получает события из копии файла журнала событий Windows PowerShell, находящейся в тестовом каталоге. Путь заключен в кавычки, поскольку имя журнала содержит пробел.

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest
    
C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

Описание
-----------
Эти команды извлекают первые 100 событий из файла журнала средства отслеживания событий для Windows (ETW).

Первая команда извлекает из журнала 100 самых ранних событий. С помощью командлета Get-WinEvent она получает события из файла Tracelog.etl. Параметр MaxEvents ограничивает количество извлекаемых событий до 100. События перечисляются в порядке их записи в журнал (от старых к новым), поэтому необходимо использовать параметр Oldest.

Вторая команда извлекает из журнала 100 последних событий. С помощью командлета Get-WinEvent она получает все события из файла Tracing.etl. Она передает
события командлету Sort-Object, который сортирует их в порядке убывания значений свойства TimeCreated. Затем упорядоченные события передаются командлету Select-Object для выбора 100 последних событий.

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

Описание
-----------
В этом примере показано, как извлечь события из файла журнала отслеживания событий (ETL) и из копии файла журнала Windows PowerShell (EVTX), сохраненной в тестовом каталоге.

В одной команде можно использовать различные типы файлов. Поскольку файлы содержат объект .NET Framework одного типа (объект EventLogRecord), для их фильтрации можно использовать одни и те же свойства.

Обратите внимание, что в команде необходимо использовать свойство Oldest, потому что выполняется чтение из файла ETL, однако параметр Oldest применяется в отношении обоих файлов.

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

Описание
-----------
В этом примере продемонстрированы различные методы фильтрации для выбора событий из журнала событий. Все эти команды извлекают из журнала событий Windows PowerShell события, произошедшие в течение последних 24 часов.

Фильтрация эффективнее использования командлета Where-Object, поскольку фильтры применяются во время извлечения объектов (вместо того чтобы сначала извлечь все объекты, а затем фильтровать их).

Поскольку даты неудобно задавать в форматах XML и XPath, для создания XML-содержимого дат используется функция фильтрации текущего журнала средства просмотра событий. Дополнительные сведения об этой возможности см. в справке средства просмотра событий.

C:\PS>$date = (get-date).AddDays(-2)
    
C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

Описание
-----------
В этом примере для получения событий из журнала производительности используется хэш-таблица фильтра. 
    
Первая команда с помощью командлета Get-Date и метода AddDays получает дату, на два дня предшествующую текущей дате. Дата сохраняется в переменной $date.
    
Вторая команда использует командлет Get-WinEvent с параметром FilterHashTable. Ключи хэш-таблицы определяют фильтр для выбора из журнала производительности событий с идентификатором события 100, которые произошли в течение последних двух дней. 
    
Ключ LogName задает журнал событий, ключ StartTime — дату, а ключ ID — идентификатор события.

C:\PS>$starttime = (get-date).adddays(-7)        
    
C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

Описание
-----------
В этом примере хэш-таблица фильтра используется для поиска ошибок приложения Internet Explorer, произошедших в течение последней недели.
    
Первая команда получает дату, на семь дней предшествующую текущей дате, и сохраняет ее в переменной $starttime.
    
Вторая команда использует командлет Get-WinEvent с параметром FilterHashTable. Ключи хэш-таблицы определяют фильтр для выбора из журнала приложений событий, записанных поставщиком ошибок приложений и содержащих фразу "iexplore.exe".
    
Ключ LogName задает журнал событий. Ключ ProviderName задает поставщик событий, ключ StartTime — начальную дату событий, а ключ Data — текст в сообщении события.