Windows nabízí dva příkazy, které umožňují komukoli s oprávněním správce exportovat protokoly událostí Windows pomocí PowerShellu. Tento proces je přímočarý, ale lze jej provést několika způsoby pomocí Get-WinEvent nebo Get-EventLog v závislosti na verzi rutin Windows.
Jak exportovat protokoly událostí Windows pomocí PowerShellu
Zde jsou tři příkazy pro extrahování protokolů Even pomocí PowerShellu.
- Pomocí Get-WinEvent
- Pomocí Get-EventLog
- Použití wevtutil pro Raw EVTX Logs
Tyto příkazy můžete spustit v prostředí PowerShell nebo Windows Terminal.
1] Pomocí Get-WinEvent
Export systémového protokolu přímo do souboru .csv:
Get-WinEvent -LogName System | Export-Csv -Path "C:\Log\SystemLog.csv" -NoTypeInformation
LogName System zde znamená logy generované pro System a exportuje se ve formátu CSV.
Pokud chcete protokoly za posledních 24 hodin ve formátu .csv:
sněžení spořič obrazovky Windows 7
Get-WinEvent -LogName Application -StartTime (Get-Date).AddDays(-1) | Export-Csv -Path "C:\Logs\ApplicationLastDay.csv" -NoTypeInformation
2] Pomocí Get-EventLog
Export protokolu aplikace přímo do souboru txt:
Get-EventLog -LogName Application | Out-File -FilePath "C:\Log\ApplicationLog.txt"
Here LogName Application: Určuje protokoly generované pro aplikace . Výstup se uloží jako prostý textový soubor.
umístění není k dispozici Windows 10
Číst : Jak vymazat protokol událostí ve Windows
3] Použití wevtutil pro Raw EVTX Logs
Soubory EVTX jsou Protokol událostí systému Windows soubory uložené v proprietárním formátu .evtx používaném službou Protokol událostí systému Windows. Slouží jako úložiště pro záznam událostí (např. systémové události, chyby aplikací, bezpečnostní audity) generované operačním systémem a nainstalovanými aplikacemi.
wevtutil epl Security "C:\LogsSecurityLog.evtx"
Zde EPL znamená Export log. Výše uvedený příkaz Výstupy protokoly v jejich nezpracovaném, nativním formátu EVTX. Nejlepší na generování souboru EVTX je to, že jej můžete přímo otevřít v prohlížeči událostí.
Doufám, že to pomůže.
Jak otevřít soubory EVTX?
Soubory EVTX lze otevřít a analyzovat pomocí několika nástrojů. Nejběžnější metodou je Prohlížeč událostí, vestavěná aplikace systému Windows, která umožňuje prohlížet a interpretovat protokoly událostí. Pro přístup k němu stiskněte Win + R, zadejte eventvwr a otevřete možnost „Otevřít uložený protokol“ pro načtení externích souborů EVTX.
Číst: Jak vytvořit vlastní zobrazení v prohlížeči událostí ve Windows
Lze soubory EVTX převést na CSV?
Soubory EVTX lze pro snadnější analýzu převést do přístupnějších formátů, jako je CSV nebo prostý text. Pomocí rutiny Get-WinEvent v PowerShellu můžete extrahovat konkrétní data událostí a exportovat je do souboru CSV pomocí WinEvent nebo nástrojů jako Evtx2Json nebo Log Parser .
Get-WinEvent -LogName Application | Export-Csv -Path "C:\Logs\ApplicationLog.csv" -NoTypeInformation
Číst : Jak exportovat soubory protokolu správy v systému Windows 11 .
