evtx 到明文日志的自动转换答案

【问题标题】：Automatic conversion of evtx to plaintext logsevtx 到明文日志的自动转换
【发布时间】：2013-06-13 12:55:48
【问题描述】：

我有一个运行 Microsoft Exchange 的 Windows Server 2008。审核日志存储在 evtx 中，我正在尝试将日志导出到第 3 方收集器。我们使用的代理（Snare Epilog，其中开源）无法识别 evtx 格式，不会将其转发到采集服务器。

我正在尝试通过 Powershell 和任务计划程序实施解决方法。我面临的问题是，虽然我可以访问 evtx 并将其保存为 .txt，但我每次都在重新解析整个日志。但是，我只想每 5 分钟或更短时间发送一次新事件。

我使用的代码是这样的：

$File = "C:\text.txt; Get-WinEvent -Path C:\test.evtx | Format-Table -AutoSize | Out-File $File -append -width 750

非常感谢您的帮助！

【问题讨论】：

【解决方案1】：

您可以使用 Get-EventLog，而不是 Get-WinEvent，然后使用 After 参数仅获取最后五分钟的事件，或者更好地跟踪您看到的最新事件消息。

这是获取应用程序日志最后五分钟的方法。

Get-EventLog -LogName Application -After $((Get-Date).AddMinutes(-5))

【讨论】：

谢谢！效果很好，只保存一个问题。它只从 5 分钟的时间跨度中抓取事件，（这是完美的）但是，它确实附加了不需要的额外数据。由于这些数据存在于 5 分钟查询的每个输出中，我想知道这是否可以过滤？我觉得我错过了一些简单的东西。不确定礼仪是否允许在此处粘贴这些日志。
我清除了日志，并且不再将额外的数据添加到日志条目中。