Get-WinEvent

Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

Descrição
-----------
Esse comando obtém todos os logs do computador local.
    
Os logs são listados na ordem em que são obtidos por Get-WinEvent. Os logs clássicos normalmente são recuperados primeiro, seguidos pelos novos logs de Eventos do Windows.
    
Como em geral há mais de cem logs de eventos, este parâmetro requer um nome de log ou um padrão de nome. Para obter todos os logs, use *.

C:\PS>get-winevent -listlog Setup | format-list -property *

    
    FileSize                       : 69632
    IsLogFull                      : False
    LastAccessTime                 : 2/14/2008 12:55:12 AM
    LastWriteTime                  : 7/9/2008 3:12:05 AM
    OldestRecordNumber             : 1
    RecordCount                    : 3
    LogName                        : Setup
    LogType                        : Operational
    LogIsolation                   : Application
    IsEnabled                      : True
    IsClassicLog                   : False
    SecurityDescriptor             : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
                                     (A;;0x1;;;S-1-5-32-573)
    LogFilePath                    : %SystemRoot%\System32\Winevt\L
    MaximumSizeInBytes             : 1052672
    LogMode                        : Circular
    OwningProviderName             : Microsoft-Windows-Eventlog
    ProviderNames                  : {Microsoft-Windows-WUSA, Micro
    ProviderLevel                  :
    ProviderKeywords               :
    ProviderBufferSize             : 64
    ProviderMinimumNumberOfBuffers : 0
    ProviderMaximumNumberOfBuffers : 64
    ProviderLatency                : 1000
    ProviderControlGuid            :

Descrição
-----------
Esses comandos obtêm um objeto que representa o log Sistema clássico no computador local. O objeto inclui informações úteis sobre o log, incluindo seu tamanho, o provedor de log de eventos, o caminho de arquivo e se ele está habilitado.

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

Descrição
-----------
Este comando só obtém logs de eventos no computador Server01 que contém eventos. Muitos logs podem estar vazios. 
    
O comando usa a propriedade RecordCount do objeto EventLogConfiguration que Get-WinEvent retorna quando você usa o parâmetro ListLog.

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
     {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

Descrição
-----------
Os comandos neste exemplo obtêm objetos que representam os logs de eventos do Windows PowerShell nos computadores Server01, Server02 e Server03. Este comando usa a palavra-chave Foreach porque o parâmetro ComputerName assume apenas um valor.
    
O primeiro comando salva os nomes dos computadores na variável $s.
    
O segundo comando usa uma instrução Foreach. Para cada um dos computadores na variável $s, ele executa o comando no bloco de scripts (dentro das chaves). Primeiro, o comando imprime o nome do computador. Em seguida, executa um comando Get-WinEvent para obter um objeto que representa o log do Windows PowerShell.

C:\PS>get-winevent -listprovider *

Descrição
-----------
Este comando obtém os provedores de log de eventos no computador local e os logs nos quais eles gravados, se existirem.

C:\PS>(get-winevent -listlog Application).providernames

Descrição
-----------
Este comando obtém todos os provedores que gravam no log Application no computador local.

C:\PS>>get-winevent -listprovider *policy*

Descrição
-----------
Este comando obtém os provedores de log de eventos cujos nomes incluem a palavra "policy".

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

Descrição
-----------
Este comando lista as IDs de evento que o provedor de eventos Microsoft-Windows-GroupPolicy gera junto com a descrição de evento.
    
Ele usa a propriedade Events do objeto que Get-WinEvent retorna quando você usa o parâmetro ListProvider e usa as propriedades ID e Description do objeto na propriedade Events.

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195
    
C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
    3 403
    2 103
    
 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
    2 Warning
  193 Information

Descrição
-----------
Este exemplo mostra como usar as propriedades dos objetos de evento que Get-WinEvent retorna para saber sobre os eventos em um log de eventos.
    
O primeiro comando usa o cmdlet Get-WinEvent para obter todos os eventos no log de eventos do Windows PowerShell. Em seguida, ele os salva na variável $events. O nome do log está entre aspas porque contém um espaço.
    
O segundo comando usa a propriedade Count de coleções de objetos para encontrar o número de entradas no log de eventos. 
    
O terceiro comando exibe a incidência de cada evento no log, com os eventos mais frequentes primeiro. Neste exemplo, a ID de evento 600 é a mais frequente.
    
O quarto comando agrupa os itens pelo valor de suas propriedades LevelDisplayName para mostrar quantos eventos de erro, aviso e informações existem no log.

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

Descrição
-----------
Este comando obtém os eventos de erro cujos nomes incluem "disk" de todos os logs de eventos no computador e do log de eventos Microsoft-Windows-Kernel-WHEA.

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

Descrição
-----------
Este comando obtém eventos de uma cópia do arquivo do log de eventos do Windows PowerShell em um diretório de teste. O caminho está entre aspas porque o nome do log inclui um espaço.

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest
    
C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

Descrição
-----------
Esses comandos obtêm os 100 primeiros eventos de um arquivo de log de rastreamento de eventos ETW (Rastreamento de Evento para Windows).

O primeiro comando obtém os 100 eventos mais antigos no log. Ele usa o cmdlet Get-WinEvent para obter eventos do arquivo Tracelog.etl. Usa também o parâmetro MaxEvents para limitar a recuperação a 100 eventos. Como os eventos são listados na ordem em que são gravados no log (mais antigo primeiro), o parâmetro Oldest é necessário.

O segundo comando obtém os 100 eventos mais recentes no log. Ele usa o cmdlet Get-WinEvent para obter todos os eventos do arquivo Tracing.etl. Ele passa
os eventos para o cmdlet Sort-Object, que os classifica em ordem decrescente de acordo com o valor da propriedade TimeCreated. Em seguida, envia os eventos classificados para o cmdlet Select-Object para selecionar os 100 eventos mais recentes.

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

Descrição
-----------
Este exemplo mostra como obter eventos de um arquivo de log de rastreamento de eventos (.etl) e de uma cópia do arquivo de log do Windows PowerShell (.evtx) salva em um diretório de testes.

Você pode combinar vários tipos de arquivos em um único comando. Como os arquivos contêm o mesmo tipo de objeto .NET Framework (um objeto EventLogRecord), você pode usar as mesmas propriedades para filtrá-los.

Observe que o comando requer o parâmetro Oldest porque ele lê de um arquivo .etl, mas o parâmetro Oldest se aplica aos dois arquivos.

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

Descrição
-----------
Este exemplo mostra métodos de filtragem diferentes para selecionar eventos de um log de eventos. Todos esses comandos obtêm eventos ocorridos nas últimas 24 horas do log de eventos do Windows PowerShell.

Os métodos de filtragem são mais eficientes do que o uso do cmdlet Where-Object porque os filtros são aplicados enquanto os objetos são recuperados, em vez de recuperar todos os objetos e depois filtrá-los.

Como é difícil formular datas nos formatos XML e XPath, usa-se o recurso Filtrar Log Atual do Visualizador de Eventos para criar o conteúdo XML para a data. Para obter mais informações sobre esse recurso, consulte a Ajuda do Visualizador de Eventos.

C:\PS>$date = (get-date).AddDays(-2)
    
C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

Descrição
-----------
Este exemplo usa uma tabela de hash de filtro para obter eventos do log de desempenho. 
    
O primeiro comando usa o cmdlet Get-Date e o método AddDays para obter uma data que é dois dias antes da data atual. Ele salva a data na variável $date.
    
O segundo comando usa o cmdlet Get-WinEvent com o parâmetro FilterHashTable. As chaves na tabela de hash definem um filtro que seleciona eventos do log de desempenho ocorridos nos últimos dois dias e que tenham uma ID de evento igual a 100. 
    
A chave LogName especifica o log de eventos, a chave StartTime especifica a data e a chave ID especifica a ID do evento.

C:\PS>$starttime = (get-date).adddays(-7)        
    
C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

Descrição
-----------
Este exemplo usa uma tabela de hash de filtro para localizar os erros no aplicativo Internet Explorer ocorridos dentro da última semana.
    
O primeiro comando obtém a data, que é sete dias antes da data atual, e a armazena na variável $starttime.
    
O segundo comando usa o cmdlet Get-WinEvent com o parâmetro FilterHashTable. As chaves na tabela de hash definem um filtro que seleciona eventos do log Application que foram gravados pelo provedor Erro de Aplicativo e incluem a frase "iexplore.exe".
    
A chave LogName especifica o log de eventos. A chave ProviderName chave especifica o provedor de eventos, a chave StartTime especifica a data inicial dos eventos e a chave Data especifica o texto na mensagem do evento.