Как получить список всех журналов событий Windows (Event просмотра журналов) с их иерархией и дружественных имен в C#

Question

Я пытаюсь вроде повторить следующее из просмотра событий

I У меня проблемы с несколькими вещами. Сначала некоторые из имен, которые я возвращаю, не являются отображаемыми именами или дружественными именами. Например, для «Microsoft Office Alerts» я просто вернусь «OAlerts». Как я могу получить «Оповещения Microsoft Office» от «OAlerts»?

Вторая проблема заключается в определении иерархии. Кажется, все, что я могу сделать, это разобрать тире и сделать что-то вроде догадки. В API нет простого способа понять это. В GetLogNames просто дает вам плоский список всех журналов

EventLogSession session = new EventLogSession(); 
List<string> logNames = new List<string>(session.GetLogNames()); 
foreach (string name in logNames) 
{ 
    //EventLogConfiguration config = new EventLogConfiguration(name); //looks useful but doesn't give me any of the info i'm looking for. 

    Console.WriteLine(name); 
}   

Answer 1

Этому блог здесь: The EventSource NuGet package and support for the Windows Event Log (Channel Support) имеет связь с редким EventSource User's Guide документа, который гласит следующее:

ли использовать Имя свойство EventSourceAttribute, чтобы обеспечить a описательное, квалифицированное имя для поставщика событий ETW, представленное вашим источником событий. По умолчанию используется короткое имя источника вашего события , что может привести к столкновениям, поскольку имена поставщиков ETW разделяют на одно пространство имен в машинном пространстве. Пример хорошего имени поставщика «<CompanyName>-<Product>-<Component>». После этого 3-элементного соглашения приложение Event Viewer отобразит ваши журналы событий в иерархии логических папок : “Application and Services Logs/<CompanyName>/<Product>/<Component> ".

Который имеет тенденцию указывать, что тире являются скорее соглашением, чем строгим требованием (поэтому я считаю, что вы можете разобрать его самостоятельно). Обратите внимание, что блог по-прежнему открыт для комментариев.

Что касается имен, которые не совпадают, то есть недокументированная функция EvtIntGetClassicLogDisplayName, которая может получить имя, отображаемое в средстве просмотра событий. Вот как использовать его с сеансом и имя журнала:

static void Main(string[] args) 
    { 
     var session = new EventLogSession(); 
     foreach (string name in session.GetLogNames()) 
     { 
      Console.WriteLine(GetDisplayName(session, name)); 
     } 
    } 

А вот код поддержки (так как он документирован, использовать на свой страх и риск, плюс это, кажется, полезно в основном для этого «OAlert» поэтому я не уверен, что это того стоит):

public static string GetDisplayName(EventLogSession session, string logName) 
    { 
     var sb = new StringBuilder(512); 
     int bufferUsed = 0; 
     if (EvtIntGetClassicLogDisplayName(GetSessionHandle(session).DangerousGetHandle(), logName, 0, 0, sb.Capacity, sb, out bufferUsed)) 
      return sb.ToString(); 

     return logName; 
    } 

    private static SafeHandle GetSessionHandle(EventLogSession session) 
    { 
     return (SafeHandle)session.GetType().GetProperty("Handle", BindingFlags.Instance | BindingFlags.NonPublic).GetValue(session); 
    } 

    [DllImport("wevtapi.dll", CharSet = CharSet.Unicode)] 
    private static extern bool EvtIntGetClassicLogDisplayName(IntPtr session, [MarshalAs(UnmanagedType.LPWStr)] string logName, int locale, int flags, int bufferSize, [MarshalAs(UnmanagedType.LPWStr)] StringBuilder displayName, out int bufferUsed);