powershell 提取 windows 事件日志首选 get-winevent 配 filterhashtable 精准筛选，弃用已过时的 get-eventlog；支持本地/远程多日志查询、按需导出为 .evtx/csv/json 格式，并注意权限与编码问题。
powershell 是提取 windows 事件日志最灵活、可编程性最强的工具，远超图形界面的筛选能力。关键在于用对命令、选对参数、配好过滤条件——不是简单导出全部，而是精准抓取有分析价值的片段。
优先用 Get-WinEvent，别再依赖 Get-EventLog
Get-EventLog 已被微软标记为“已弃用”，仅支持旧式经典日志（System、Application、Security），不兼容 PowerShell/Operational、Microsoft-Windows-Diagnostics-Performance 等现代通道。实际工作中遇到的多数问题（如脚本执行、服务启动失败、驱动加载异常）都记录在新日志中，必须用 Get-WinEvent。
- 查可用日志列表：Get-WinEvent -ListLog * | Where-Object {$_.IsEnabled -eq $true} - 只显示当前启用的日志
- 查某日志结构（含提供程序、级别、事件ID范围）：Get-WinEvent -ListLog "Security"
- 确认权限：若提示“访问被拒绝”，说明未以管理员身份运行，或 Security 日志需额外启用审核策略
用 FilterHashtable 实现高效精准筛选
FilterHashtable 是性能最好、语法最清晰的筛选方式，支持时间、日志名、事件ID、严重级别、提供程序名称等组合条件，且无需写 XPath。
- 导出过去48小时所有错误（Level=2）和警告（Level=3）：Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3; StartTime=(Get-Date).AddHours(-48)}
- 查特定服务启动失败（事件ID 7000 + 提供程序 Service Control Manager）：Get-WinEvent -FilterHashtable @{LogName='System'; ID=7000; ProviderName='Service Control Manager'}
- 同时查多个日志中的登录失败（Security）和 PowerShell 执行（PowerShellCore/Operational）：Get-WinEvent -FilterHashtable @{LogName='Security','PowerShellCore/Operational'; ID=4625,4104}
导出时保留完整上下文，避免信息丢失
CSV 看起来方便，但 Message 字段含换行、制表符、特殊字符，直接 Export-Csv 会破坏结构；.evtx 虽完整但无法用 Excel 或文本工具快速浏览。推荐分场景选择格式：
- 给同事或第三方分析：导出为 .evtx —— 完整保留 XML 元数据，可用事件查看器、LogParser、Elastic Stack 直接读取
Get-WinEvent -FilterHashtable @{LogName='Application'; Level=2; StartTime=(Get-Date).AddDays(-7)} | Export-Clixml -Path "$env:USERPROFILE\Desktop\AppErrors.evtx" - 做初步排查或导入 Excel：导出为 CSV，但只选关键字段，并指定 UTF8 编码
Get-WinEvent -LogName 'System' -MaxEvents 5000 | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, @{Name='Message';Expression={$_.Message -replace "`r`n|`n|`r"," "}} | Export-Csv -Path "$env:USERPROFILE\Desktop\System_Summary.csv" -NoTypeInformation -Encoding UTF8 - 需要结构化 JSON（如对接 SIEM 或 Python 分析）：ConvertTo-Json -Depth 10
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} -MaxEvents 100 | ConvertTo-Json -Depth 10 | Out-File "$env:USERPROFILE\Desktop\SuccessfulLogins.json"
批量处理与远程采集很实用
单台机器查日志只是起点。运维或安全响应常需横向比对多台设备，PowerShell 原生支持远程调用，无需额外安装客户端。
- 从远程主机（需 WinRM 启用且防火墙放行）获取其系统错误：
Get-WinEvent -ComputerName "SRV-DB01" -FilterHashtable @{LogName='System'; Level=2; StartTime=(Get-Date).AddHours(-12)} - 批量导出多台服务器的安全日志（存到本地带主机名前缀的文件）：
"SRV-APP01","SRV-APP02","SRV-DB01" | ForEach-Object { Get-WinEvent -ComputerName $_ -FilterHashtable @{LogName='Security'; ID=4625} -MaxEvents 500 | Export-Csv -Path "$env:USERPROFILE\Desktop\$($_)_FailedLogins.csv" -NoTypeInformation } - 自动加时间戳命名，避免覆盖：
$ts = Get-Date -Format "yyyyMMdd_HHmm"; Get-WinEvent -LogName System -MaxEvents 1000 | Export-Csv "C:\logs\System_$ts.csv" -NoTypeInformation
