Использование Get-WinEvent для анализа сохраненных файлов evtx по уровню ошибок

Question

Я пытаюсь проанализировать локально сохраненные сохраненные файлы extx с других серверов 2008 года, используя Powershell. Моя первая цель - проанализировать уровень «Ошибка». Я использовал следующую команду PS:

Get-WinEvent -Path C: \ Logs \ logfile.evtx | Where-Object {$ _. LevelDisplayName -eq 'Error'}

Однако, я возвращаю только часть «ошибок» из журналов событий. Любые идеи о том, что я делаю неправильно? попробовал -FilterHashtable флаг, хотя я думаю, что будет работать только на моих собственных журналах, правильно? Спасибо.

Answer 1

поставить команду в массив

$a= @(Get-WinEvent -Path C:\Logs\logfile.evtx) 

затем получить

$a[0..25] | where { $_.leveldisplayname -match "Error" } 

Предположим, у вас есть 25 событий в вашем файле