Как получить PID из журнала событий Windows?

Question

У меня есть код python, который использует WMI-модуль python для получения журналов просмотра событий Windows. Но я не могу получить PID процесса, который сгенерировал журнал. Мой код:

wmi_obj = wmi.WMI('.') #Initialize WMI object and query. 
wmi_query = "SELECT * FROM Win32_NTLogEvent WHERE Logfile='System' AND EventType=1" 
query_result = wmi_obj.query(wmi_query) # Query WMI object 

query_result список объектов WMI. Каждый объект в этом списке является системным журналом Windows, и я хочу, чтобы PID процесса, сгенерировавшего этот журнал. Я прошел несколько документов msdn, но не нашел ничего полезного.

Я хочу получить информацию, указанную на изображении выше.

Answer 1

Вызов API Win32 для получения записей журнала событий - ReadEventLog, и это возвращает EVENTLOGRECORD структур. У них нет поля для идентификатора процесса, поэтому, если ваши события не включили его в данные сообщения о событии, похоже, что это будет недоступно.