Cum să exportați jurnalele de evenimente Windows cu PowerShell

Windows oferă două comenzi care permit oricui cu permisiunea de administrator să exporte jurnalele de evenimente Windows folosind PowerShell. Procesul este simplu, dar poate fi realizat în mai multe moduri folosindGet-WinEventsauGet-EventLogcmdlet-uri, în funcție de versiunea de Windows.

Iată cele trei comenzi pentru a extrage jurnalele Even folosind PowerShell.

• Folosind Get-WinEvent
• Folosind Get-EventLog
• Folosind wevtutil pentru jurnalele EVTX brute

Puteți rula aceste comenzi pe PowerShell sau Windows Terminal.

1] Folosind Get-WinEvent

Exportarea jurnalului de sistem direct într-un fișier .csv:

Get-WinEvent -LogName System | Export-Csv -Path "C:\Log\SystemLog.csv" -NoTypeInformation

Aici LogName System înseamnă jurnalele generate pentru System și se exportă în format CSV.

Dacă doriți jurnalele din ultimele 24 de ore în format .csv:

Get-WinEvent -LogName Application -StartTime (Get-Date).AddDays(-1) | Export-Csv -Path "C:\Logs\ApplicationLastDay.csv" -NoTypeInformation

2] Folosind Get-EventLog

Exportarea jurnalului de aplicație direct într-un fișier txt:

Get-EventLog -LogName Application | Out-File -FilePath "C:\Log\ApplicationLog.txt"

Aici LogName Application: Specifică. Ieșirea este salvată ca fișier text simplu.

Citire:

3] Folosind wevtutil pentru jurnalele EVTX brute

Fișierele EVTX suntfișiere stocate în formatul proprietar .evtx utilizat de serviciul Windows Event Log. Acestea servesc ca depozit pentru înregistrarea evenimentelor (de exemplu, evenimente de sistem, erori de aplicație, audituri de securitate) generate de sistemul de operare și de aplicațiile instalate.

wevtutil epl Security "C:\LogsSecurityLog.evtx"

Aici, EPL înseamnă jurnal de export. Comanda de mai sus scoate jurnalele în formatul lor brut, nativ EVTX. Cea mai bună parte a generării unui fișier EVTX este că îl puteți deschide direct în vizualizatorul de evenimente.

Sper că asta ajută.

Cum se deschide fișierele EVTX?

Fișierele EVTX pot fi deschise și analizate folosind mai multe instrumente. Cea mai comună metodă este prin Event Viewer, o aplicație Windows încorporată care vă permite să vizualizați și să interpretați jurnalele de evenimente. Pentru a-l accesa, apăsați Win + R, tastațieventvwrși deschideți opțiunea „Open Saved Log” pentru a încărca fișiere externe EVTX.

Citire:

Fișierele EVTX pot fi convertite în CSV?

Fișierele EVTX pot fi convertite în formate mai accesibile, cum ar fi CSV sau text simplu, pentru o analiză mai ușoară. Puteți folosiGet-WinEventcmdlet în PowerShell pentru a extrage anumite date despre evenimente și a le exporta într-un fișier CSV folosind WinEvent sau instrumente precumEvtx2JsonsauAnalizator de jurnal.

Get-WinEvent -LogName Application | Export-Csv -Path "C:\Logs\ApplicationLog.csv" -NoTypeInformation

Citire:.