事件日志中事件的唯一标识符

Question

我有一个Windows事件日志文件(.evt/.evtx)，我想使用power shell从事件日志中选择一个特定的事件。我看到像这样的cmdlet

$provider = Get-WinEvent -listprovider $EventSource
$ProviderEvent = $provider.events | Where-Object {($_.ID -eq 4)}

查询事件日志，但在我的.evtx中，有多个事件具有相同的ID。

因此，我的问题是-如何指向单个事件(使用哪些字段)？

Answer 1

检查RecordId属性：

$provider.events | Where-Object {$_.ID -eq 4} | foreach {$_.RecordId}