uzyskać czas przekazanych wydarzeń dzięki Get-winevent? - wydarzenia, powershell

Dobry dzień. Próbuję filtrować dzienniki za pomocą get-winevent. Kiedy pracuję z dziennikami lokalnymi jako zabezpieczenia, system itp. Wszystko jest w porządku. StartTime działa poprawnie.

$yesterday = (get-date) - (new-timespan -day 1)
$a = get-winevent -FilterHashTable @{LogName="system"; StartTime=$yesterday}

Kiedy próbuję użyć tego polecenia z „przekazanymi zdarzeniami”, pojawia się błąd: „Get-WinEvent: Nie znaleziono zdarzeń, które pasowałyby do określonych kryteriów wyboru”. Problem tylko z „StartTime” i „EndTime”.

Czy ktoś wiedział, gdzie jest problem?

Odpowiedzi:

W przypadku tego typu dzienników należy użyć zapytania xpath, które jest skomplikowane.

$query=@"
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Dhcp-Client/Admin">
<Select Path="Microsoft-Windows-Dhcp-Client/Admin">*[System[TimeCreated[timediff(@SystemTime) &lt;= 2592000000]]]</Select>
</Query>
</QueryList>
"@

get-winevent -LogName Microsoft-Windows-Dhcp-Client/Admin -FilterXPath $query

Nie mam nic w ForwardedEvents, więc mamużywał innego dziennika. Najlepiej jest użyć EventViewer do zbudowania zapytania, a następnie skopiować i wkleić plik XML. Najprawdopodobniej będziesz musiał bawić się znakami cudzysłowu.