我有一个Windows事件日志文件(.evt / .evtx),我想使用power shell从事件日志中选择一个特定事件。我看到像
这样的cmdlet$provider = Get-WinEvent -listprovider $EventSource
$ProviderEvent = $provider.events | Where-Object {($_.ID -eq 4)}
查询事件日志,但在我的.evtx中,有多个具有相同ID的事件。
因此,我的问题是 - 如何指向单个事件,(使用哪些字段)?
答案 0 :(得分:1)
检查RecordId属性:
$provider.events | Where-Object {$_.ID -eq 4} | foreach {$_.RecordId}