Powershell Get-Winevent Filterhashtable

Question

这是我现在的一个有用的查询。

powershell "Get-WinEvent -EA SilentlyContinue -FilterHashtable @{ProviderName='Microsoft-Windows-DriverFrameworks-UserMode';ID=2003,2100;StartTime='2014-08-18 16:01:57';EndTime='2014-08-18 23:59:59'} | where {$_.Message -match '27, 23'}| ConvertTo-Csv -NoTypeInformation | %{ $_ -replace """`r`n""",',' }  | select -Skip 1| Out-File -Append c:\TEMP\TIMELINE\TEMP.csv"

我如何改变它，使它获取：

(Event ID 2003)
      OR
(Event ID 2100 and Message -match '27, 23')

谢谢。。

Answer 1

只需将Where语句更改为使用-OR语句，然后将ID和消息与-AND语句分组：

where {$_.ID -eq "2003" -or ($_.ID -eq "2100" -and $_.Message -match '27, 23')}

Answer 2

Filterhashtable不支持bool表达式。你可以通过两种方式来完成工作。

1. 使用PowerShell where管道。
2. 使用-FilterXml参数而不是Filterhashtable