适用于 PowerShell 5.1 及以上版本（Windows）
Windows 事件日志是系统运维和安全审计的核心数据源。无论是排查服务崩溃、追踪用户登录行为，还是进行安全取证分析，事件日志都提供了不可替代的线索。然而，面对动辄数十万条日志记录，手动翻阅事件查看器显然效率低下。
PowerShell 内置的 Get-WinEvent cmdlet 拥有强大的过滤和查询能力，配合结构化对象输出，可以大幅提升日志分析效率。与旧版的 Get-EventLog（已在 PowerShell 7 中移除）不同，Get-WinEvent 支持所有日志通道（包括 ETL 诊断日志），并能通过 XPath 和哈希表实现高效的服务端过滤。
本文将从安全审计和故障排查两个场景出发，演示如何用 PowerShell 构建一套实用的事件日志深度分析脚本。重点在于掌握过滤技巧和结果聚合方法，让海量日志真正为你所用。
按时间窗口和级别提取安全日志
在安全审计场景中，最常见的操作是从安全日志中提取特定时间段内的事件。以下脚本演示如何查询最近 24 小时内的登录成功事件（Event ID 4624），并提取关键信息。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
| $startTime = (Get-Date).AddHours(-24)
$logonEvents = Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = 4624
StartTime = $startTime
} -ErrorAction SilentlyContinue
$results = @()
foreach ($event in $logonEvents) {
$xml = [xml]$event.ToXml()
$data = $xml.Event.EventData.Data
$targetUserName = ($data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
$logonType = ($data | Where-Object { $_.Name -eq 'LogonType' }).'#text'
$ipAddress = ($data | Where-Object { $_.Name -eq 'IpAddress' }).'#text'
$results += [PSCustomObject]@{
Time = $event.TimeCreated
User = $targetUserName
LogonType = $logonType
SourceIP = $ipAddress
}
}
$results | Sort-Object Time -Descending | Format-Table -AutoSize
|
上述代码使用 FilterHashtable 进行服务端过滤，只将符合条件的记录传输到客户端，避免大量无用数据占用内存。通过解析事件的 XML 结构，我们可以提取出事件数据中任意命名的字段。注意这里使用 foreach 循环而非管道，在处理大量记录时性能更稳定。
执行结果示例：
1
2
3
4
5
6
7
| Time User LogonType SourceIP
---- ---- --------- --------
2025/10/27 07:52:14 administrator 10 192.168.1.105
2025/10/27 07:48:33 jzhang 2 192.168.1.42
2025/10/27 07:30:19 SYSTEM 5 -
2025/10/27 06:15:42 lwei 10 10.0.0.88
2025/10/27 05:02:07 administrator 7 127.0.0.1
|
其中 LogonType 的含义尤为关键：类型 2 表示交互式登录（控制台），类型 10 表示远程桌面登录，类型 5 表示服务启动。如果发现异常的远程登录记录，应立即排查来源 IP 是否合法。
聚合高频错误事件并生成统计报告
在故障排查场景中，快速定位哪些错误出现频率最高，往往比逐条分析更有效率。以下脚本从 System 和 Application 两个日志中提取最近 7 天的 Error 和 Critical 级别事件，按事件 ID 分组统计。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
| $startTime = (Get-Date).AddDays(-7)
$logNames = @('System', 'Application')
$allErrors = @()
foreach ($logName in $logNames) {
$events = Get-WinEvent -FilterHashtable @{
LogName = $logName
Level = 1, 2
StartTime = $startTime
} -ErrorAction SilentlyContinue
foreach ($event in $events) {
$allErrors += [PSCustomObject]@{
LogName = $event.LogName
EventId = $event.Id
Level = $event.LevelDisplayName
Message = $event.Message.Substring(0, [Math]::Min(120, $event.Message.Length))
Time = $event.TimeCreated
Provider = $event.ProviderName
}
}
}
$summary = $allErrors | Group-Object LogName, EventId | Sort-Object Count -Descending
foreach ($group in $summary) {
$parts = $group.Name -split ', '
$log = $parts[0]
$eid = $parts[1]
$sampleMessage = $group.Group[0].Message
[PSCustomObject]@{
Count = $group.Count
LogName = $log
EventId = $eid
Provider = $group.Group[0].Provider
Sample = $sampleMessage
}
} | Format-Table -AutoSize -Wrap
|
这段脚本的核心思路是先用 Level = 1, 2（Critical 和 Error）做服务端过滤，减少数据传输量；然后在客户端用 Group-Object 按日志名和事件 ID 聚合，统计出现次数。最后输出每个高频错误的首次出现样例，方便运维人员快速判断问题根因。
执行结果示例：
1
2
3
4
5
6
7
| Count LogName EventId Provider Sample
----- ------- ------- -------- ------
147 System 7036 Service Control Manager 服务已在后台启动或停止...
82 Application 1000 Application Error 故障模块名称: ntdll.dll...
45 System 7023 Service Control Manager 服务以特定错误退出...
31 Application 1026 .NET Runtime 进程已因未经处理的异常而终止...
12 System 41 Kernel-Power 系统未先正常关闭...
|
检测可疑的登录失败和账户锁定
安全取证中，登录失败事件（Event ID 4625）和账户锁定事件（Event ID 4740）是发现暴力破解攻击的关键指标。以下脚本汇总最近 7 天的登录失败记录，按目标账户和来源 IP 聚合，识别潜在的暴力破解目标。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
| $startTime = (Get-Date).AddDays(-7)
$failedLogonEvents = Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = 4625
StartTime = $startTime
} -ErrorAction SilentlyContinue
$failedLogins = @()
foreach ($event in $failedLogonEvents) {
$xml = [xml]$event.ToXml()
$data = $xml.Event.EventData.Data
$targetUser = ($data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
$sourceIP = ($data | Where-Object { $_.Name -eq 'IpAddress' }).'#text'
$failureReason = ($data | Where-Object { $_.Name -eq 'SubStatus' }).'#text'
$failedLogins += [PSCustomObject]@{
Time = $event.TimeCreated
User = $targetUser
SourceIP = $sourceIP
FailureCode = $failureReason
}
}
$suspicious = $failedLogins | Group-Object User, SourceIP | Where-Object { $_.Count -gt 5 } |
Sort-Object Count -Descending
foreach ($entry in $suspicious) {
$parts = $entry.Name -split ', '
[PSCustomObject]@{
FailedCount = $entry.Count
User = $parts[0]
SourceIP = $parts[1]
FirstSeen = $entry.Group[0].Time
LastSeen = $entry.Group[-1].Time
}
} | Format-Table -AutoSize
|
脚本中通过 Where-Object { $_.Count -gt 5 } 筛选出失败次数超过 5 次的组合，这些通常是暴力破解的特征。FailureCode 字段（SubStatus）可以进一步区分失败原因，例如 0xC000006A 表示密码错误，0xC0000234 表示账户已被锁定。
执行结果示例：
1
2
3
4
5
6
| FailedCount User SourceIP FirstSeen LastSeen
----------- ---- -------- --------- --------
89 administrator 203.0.113.42 2025/10/21 02:14:07 2025/10/27 06:58:33
34 backup_svc 198.51.100.7 2025/10/23 11:20:15 2025/10/26 23:47:01
12 testuser 192.168.1.105 2025/10/25 08:30:00 2025/10/27 07:12:44
8 sqladmin 10.0.0.99 2025/10/26 14:05:22 2025/10/27 03:40:18
|
发现此类模式后，建议立即检查对应账户的锁定策略和网络防火墙规则，并考虑将可疑 IP 加入黑名单。
注意事项
优先使用 FilterHashtable 而非管道过滤：Get-WinEvent 支持 -FilterHashtable 参数做服务端过滤，比先获取全部事件再用 Where-Object 过滤效率高数十倍。在查询安全日志等大型日志时，差异尤为明显。
处理空结果集：当日志中没有符合条件的记录时，Get-WinEvent 会抛出异常而非返回空集合。务必使用 -ErrorAction SilentlyContinue 或 try/catch 块来优雅处理这种情况。
Level 参数使用数值：FilterHashtable 中的 Level 字段只接受数值：1 = Critical，2 = Error，3 = Warning，4 = Information，5 = Verbose。不要使用字符串，否则过滤不会生效。
XPath 过滤更精细：当 FilterHashtable 无法满足复杂条件时，可以使用 -FilterXPath 参数编写 XPath 表达式。例如按消息内容中的特定字段值过滤，这是最灵活的服务端过滤方式。
安全日志需要管理员权限：查询 Security 日志需要以管理员身份运行 PowerShell（”以管理员身份运行”），否则会收到权限不足的错误。普通用户只能访问 Application 和 System 等日志。
大时间范围查询注意性能：如果查询跨度数月的安全日志，即使使用服务端过滤也可能返回海量数据。建议先按天或按小时分段查询，再汇总结果。也可以结合 -MaxEvents 参数限制返回条数做初步探查。