适用于 PowerShell 5.1 及以上版本（Windows）
Windows 事件日志是系统运维和安全审计的核心数据源。无论是排查服务崩溃、追踪用户登录行为，还是进行安全取证分析，事件日志都提供了不可替代的线索。然而，面对动辄数十万条日志记录，手动翻阅事件查看器显然效率低下。
PowerShell 内置的 Get-WinEvent cmdlet 拥有强大的过滤和查询能力，配合结构化对象输出，可以大幅提升日志分析效率。与旧版的 Get-EventLog（已在 PowerShell 7 中移除）不同，Get-WinEvent 支持所有日志通道（包括 ETL 诊断日志），并能通过 XPath 和哈希表实现高效的服务端过滤。
本文将从安全审计和故障排查两个场景出发，演示如何用 PowerShell 构建一套实用的事件日志深度分析脚本。重点在于掌握过滤技巧和结果聚合方法，让海量日志真正为你所用。
按时间窗口和级别提取安全日志 在安全审计场景中，最常见的操作是从安全日志中提取特定时间段内的事件。以下脚本演示如何查询最近 24 小时内的登录成功事件（Event ID 4624），并提取关键信息。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 $startTime = (Get-Date ).AddHours(-24 )$logonEvents = Get-WinEvent -FilterHashtable @ { LogName = 'Security' Id = 4624 StartTime = $startTime } -ErrorAction SilentlyContinue $results = @ ()foreach ($event in $logonEvents ) { $xml = [xml ]$event .ToXml() $data = $xml .Event.EventData.Data $targetUserName = ($data | Where-Object { $_ .Name -eq 'TargetUserName' }).'#text' $logonType = ($data | Where-Object { $_ .Name -eq 'LogonType' }).'#text' $ipAddress = ($data | Where-Object { $_ .Name -eq 'IpAddress' }).'#text' $results += [PSCustomObject ]@ { Time = $event .TimeCreated User = $targetUserName LogonType = $logonType SourceIP = $ipAddress } } $results | Sort-Object Time -Descending | Format-Table -AutoSize
上述代码使用 FilterHashtable 进行服务端过滤，只将符合条件的记录传输到客户端，避免大量无用数据占用内存。通过解析事件的 XML 结构，我们可以提取出事件数据中任意命名的字段。注意这里使用 foreach 循环而非管道，在处理大量记录时性能更稳定。
执行结果示例：
1 2 3 4 5 6 7 Time User LogonType SourceIP ---- ---- --------- -------- 2025/10/27 07 :52 :14 administrator 10 192.168.1.105 2025/10/27 07 :48 :33 jzhang 2 192.168.1.42 2025/10/27 07 :30 :19 SYSTEM 5 -2025/10/27 06 :15 :42 lwei 10 10.0.0.88 2025/10/27 05 :02 :07 administrator 7 127.0.0.1
其中 LogonType 的含义尤为关键：类型 2 表示交互式登录（控制台），类型 10 表示远程桌面登录，类型 5 表示服务启动。如果发现异常的远程登录记录，应立即排查来源 IP 是否合法。
聚合高频错误事件并生成统计报告 在故障排查场景中，快速定位哪些错误出现频率最高，往往比逐条分析更有效率。以下脚本从 System 和 Application 两个日志中提取最近 7 天的 Error 和 Critical 级别事件，按事件 ID 分组统计。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 $startTime = (Get-Date ).AddDays(-7 )$logNames = @ ('System' , 'Application' )$allErrors = @ ()foreach ($logName in $logNames ) { $events = Get-WinEvent -FilterHashtable @ { LogName = $logName Level = 1 , 2 StartTime = $startTime } -ErrorAction SilentlyContinue foreach ($event in $events ) { $allErrors += [PSCustomObject ]@ { LogName = $event .LogName EventId = $event .Id Level = $event .LevelDisplayName Message = $event .Message.Substring(0 , [Math ]::Min(120 , $event .Message.Length)) Time = $event .TimeCreated Provider = $event .ProviderName } } } $summary = $allErrors | Group-Object LogName, EventId | Sort-Object Count -Descending foreach ($group in $summary ) { $parts = $group .Name -split ', ' $log = $parts [0 ] $eid = $parts [1 ] $sampleMessage = $group .Group[0 ].Message [PSCustomObject ]@ { Count = $group .Count LogName = $log EventId = $eid Provider = $group .Group[0 ].Provider Sample = $sampleMessage } } | Format-Table -AutoSize -Wrap
这段脚本的核心思路是先用 Level = 1, 2（Critical 和 Error）做服务端过滤，减少数据传输量；然后在客户端用 Group-Object 按日志名和事件 ID 聚合，统计出现次数。最后输出每个高频错误的首次出现样例，方便运维人员快速判断问题根因。
执行结果示例：
1 2 3 4 5 6 7 Count LogName EventId Provider Sample ----- ------- ------- -------- ------ 147 System 7036 Service Control Manager 服务已在后台启动或停止... 82 Application 1000 Application Error 故障模块名称: ntdll.dll... 45 System 7023 Service Control Manager 服务以特定错误退出... 31 Application 1026 .NET Runtime 进程已因未经处理的异常而终止... 12 System 41 Kernel-Power 系统未先正常关闭...
检测可疑的登录失败和账户锁定 安全取证中，登录失败事件（Event ID 4625）和账户锁定事件（Event ID 4740）是发现暴力破解攻击的关键指标。以下脚本汇总最近 7 天的登录失败记录，按目标账户和来源 IP 聚合，识别潜在的暴力破解目标。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 $startTime = (Get-Date ).AddDays(-7 )$failedLogonEvents = Get-WinEvent -FilterHashtable @ { LogName = 'Security' Id = 4625 StartTime = $startTime } -ErrorAction SilentlyContinue $failedLogins = @ ()foreach ($event in $failedLogonEvents ) { $xml = [xml ]$event .ToXml() $data = $xml .Event.EventData.Data $targetUser = ($data | Where-Object { $_ .Name -eq 'TargetUserName' }).'#text' $sourceIP = ($data | Where-Object { $_ .Name -eq 'IpAddress' }).'#text' $failureReason = ($data | Where-Object { $_ .Name -eq 'SubStatus' }).'#text' $failedLogins += [PSCustomObject ]@ { Time = $event .TimeCreated User = $targetUser SourceIP = $sourceIP FailureCode = $failureReason } } $suspicious = $failedLogins | Group-Object User, SourceIP | Where-Object { $_ .Count -gt 5 } | Sort-Object Count -Descending foreach ($entry in $suspicious ) { $parts = $entry .Name -split ', ' [PSCustomObject ]@ { FailedCount = $entry .Count User = $parts [0 ] SourceIP = $parts [1 ] FirstSeen = $entry .Group[0 ].Time LastSeen = $entry .Group[-1 ].Time } } | Format-Table -AutoSize
脚本中通过 Where-Object { $_.Count -gt 5 } 筛选出失败次数超过 5 次的组合，这些通常是暴力破解的特征。FailureCode 字段（SubStatus）可以进一步区分失败原因，例如 0xC000006A 表示密码错误，0xC0000234 表示账户已被锁定。
执行结果示例：
1 2 3 4 5 6 FailedCount User SourceIP FirstSeen LastSeen ----------- ---- -------- --------- -------- 89 administrator 203.0.113.42 2025/10/21 02 :14 :07 2025/10/27 06 :58 :33 34 backup_svc 198.51.100.7 2025/10/23 11 :20 :15 2025/10/26 23 :47 :01 12 testuser 192.168.1.105 2025/10/25 08 :30 :00 2025/10/27 07 :12 :44 8 sqladmin 10.0.0.99 2025/10/26 14 :05 :22 2025/10/27 03 :40 :18
发现此类模式后，建议立即检查对应账户的锁定策略和网络防火墙规则，并考虑将可疑 IP 加入黑名单。
注意事项
优先使用 FilterHashtable 而非管道过滤 ：Get-WinEvent 支持 -FilterHashtable 参数做服务端过滤，比先获取全部事件再用 Where-Object 过滤效率高数十倍。在查询安全日志等大型日志时，差异尤为明显。
处理空结果集 ：当日志中没有符合条件的记录时，Get-WinEvent 会抛出异常而非返回空集合。务必使用 -ErrorAction SilentlyContinue 或 try/catch 块来优雅处理这种情况。
Level 参数使用数值 ：FilterHashtable 中的 Level 字段只接受数值：1 = Critical，2 = Error，3 = Warning，4 = Information，5 = Verbose。不要使用字符串，否则过滤不会生效。
XPath 过滤更精细 ：当 FilterHashtable 无法满足复杂条件时，可以使用 -FilterXPath 参数编写 XPath 表达式。例如按消息内容中的特定字段值过滤，这是最灵活的服务端过滤方式。
安全日志需要管理员权限 ：查询 Security 日志需要以管理员身份运行 PowerShell（”以管理员身份运行”），否则会收到权限不足的错误。普通用户只能访问 Application 和 System 等日志。
大时间范围查询注意性能 ：如果查询跨度数月的安全日志，即使使用服务端过滤也可能返回海量数据。建议先按天或按小时分段查询，再汇总结果。也可以结合 -MaxEvents 参数限制返回条数做初步探查。