这是我现在的工作查询。
powershell "Get-WinEvent -EA SilentlyContinue -FilterHashtable @{ProviderName='Microsoft-Windows-DriverFrameworks-UserMode';ID=2003,2100;StartTime='2014-08-18 16:01:57';EndTime='2014-08-18 23:59:59'} | where {$_.Message -match '27, 23'}| ConvertTo-Csv -NoTypeInformation | %{ $_ -replace """`r`n""",',' } | select -Skip 1| Out-File -Append c:\TEMP\TIMELINE\TEMP.csv"
如何以提取方式更改它:
(Event ID 2003)
OR
(Event ID 2100 and Message -match '27, 23')
谢谢..
答案 0 :(得分:1)
只需将Where语句更改为使用-OR语句,然后使用-AND语句对ID和消息进行分组:
where {$_.ID -eq "2003" -or ($_.ID -eq "2100" -and $_.Message -match '27, 23')}
答案 1 :(得分:0)
Filterhashtable不支持bool表达式。 你可以绕着两种方式工作。