使用Get-WinEvent按错误级别解析存储的evtx文件

Question

我正在尝试使用Powershell从其他2008服务器解析本地存储的已保存的extx文件。我的第一个目标是解析＆＃34;错误＆＃34;水平。我使用了以下PS命令：

Get-WinEvent -Path C：\ Logs \ logfile.evtx | Where-Object {$ _.LevelDisplayName -eq＆＃39; Error＆＃39;}

然而，我只收回了“错误”中的一小部分错误。来自事件日志。关于我做错什么的任何想法？我也尝试过-FilterHashtable标志，虽然我认为这只适用于我自己的日志，对吗？感谢。

Answer 1

把你的命令放在数组

$a= @(Get-WinEvent -Path C:\Logs\logfile.evtx)

然后得到

$a[0..25] | where { $_.leveldisplayname -match "Error" }

我想你的文件中有25个事件日志