如何显示包含PowerShell特定文本的事件日志

1

我正在尝试快速显示windows事件日志中最后一天的所有事件，其中包含power shell中的某个字符串。

我已经找到了powershell命令来列出事件，但我基本上想要为特定文本“GREP”它们。

我需要使用powershell，因为目标是Windows Server 2016 Hyper-V，但我认为能够这样做也很有用很快使用PowerShell在任何计算机上搜索最近的事件。

要显示可用日志，我运行：

PS C：\ Users \ Administrator＆gt; Get-EventLog -List

  Max(K) Retain OverflowAction        Entries Log
  ------ ------ --------------        ------- ---
  20,480      0 OverwriteAsNeeded       1,113 Application
  20,480      0 OverwriteAsNeeded           0 HardwareEvents
     512      7 OverwriteOlder              0 Internet Explorer
  20,480      0 OverwriteAsNeeded           0 Key Management Service
     512      7 OverwriteOlder          1,539 Microsoft-ServerManagementExperience
  20,480      0 OverwriteAsNeeded      28,667 Security
  20,480      0 OverwriteAsNeeded       4,857 System
  15,360      0 OverwriteAsNeeded       3,654 Windows PowerShell

在此示例中，将调用目标Log 应用

我可以打印过去24小时的日志到控制台：

Get-EventLog -LogName system -after (Get-Date).AddDays(-1)

我尝试使用过滤输出 Select-String 但这从未与任何线路相匹配。

windows powershell event-log

— Jon
source

2

这就是我最终做的事情。它会搜索文本的多个事件属性的值，并在控制台上显示它们：

$search = "hyper"
Get-EventLog -LogName system -after (Get-Date).AddDays(-1) | Where-Object { $_.Category.ToLower().Contains($search.ToLower()) -or $_.Message.ToLower().Contains($search.ToLower()) -or $_.Source.ToLower().Contains($search.ToLower())} | Format-Table -AutoSize -Wrap

示例输出：

   Index Time          EntryType   Source                 InstanceID Message
   ----- ----          ---------   ------                 ---------- -------
    4751 Aug 10 09:13  Information Microsoft-Windows...           23 NIC /DEVICE/{FD82EC81-DC0D-4655-B606-0AA9AF08E6CC} (Friendly Name: Microsoft Hyper-V Network Adapter) is now operational.
    4750 Aug 10 09:13  Information Microsoft-Windows...           11 The description for Event ID '11' in Source 'Microsoft-Windows-Hyper-V-Netvsc' cannot be found.  The local computer may not have the necessary registr...
    4749 Aug 10 09:13  Information Microsoft-Windows...           24 NIC /DEVICE/{FD82EC81-DC0D-4655-B606-0AA9AF08E6CC} (Friendly Name: Microsoft Hyper-V Network Adapter) is no longer operational.

我是powershell的新手所以它可能不是 最好的办法 但它的确有效。我希望它能节省一些时间。

— Jon
source

1

很高兴你有这个为你工作。

注意点。您也可以采用这种方法，稍微简化一下......

此方法将搜索为字符串值传入的所有属性并返回匹配，而无需单独处理大小写或指定每个属性的搜索字符串。

$Search = 'hyper'
(Get-EventLog -LogName system -after (Get-Date).AddDays(-1) | 
Select-Object -Property Category,Index,TimeGenerated,
EntryType,Source,InstanceID,Message) -match $Search | Format-Table -AutoSize

Category Index TimeGenerated        EntryType Source                             InstanceId Message
-------- ----- -------------        --------- ------                             ---------- -------
(0)      19637 10-Aug-18 17:06:16 Information Microsoft-Windows-Hyper-V-VmSwitch        233 The operation '8' ...
(0)      19636 10-Aug-18 17:06:16 Information Microsoft-Windows-Hyper-V-VmSwitch        234 NIC D6727298-4E...
(0)      19635 10-Aug-18 17:05:39 Information Microsoft-Windows-Hyper-V-VmSwitch        233 The operation ...
(0)      19634 10-Aug-18 17:05:39 Information Microsoft-Windows-Hyper-V-VmSwitch        234 NIC 75A04E6E-1...
(1019)   19621 10-Aug-18 12:33:17 Information Microsoft-Windows-Hyper-V-VmSwitch

— postanote
source