windowsのイベントログのcsvエクスポートについて

Question

WindowsXP/Windows7 のクライアントＰＣにて、イベントログ（6005:起動時間）、
（6006:シャットダウン時間）の情報をCSVファイルなどに出力したいと考えています。

対象は300台くらいあるので、スクリプトを作成して実行したいと考えています。
できれば、出力したログファイルにＰＣ名などの情報も出力したいと考えています。

自分なりに、「wevtutil qe system /f:text /q:*[System[(EventID=%6005)]] > c:\ivent.txt」
などでしてみたのですが、
「位置 18 で構文エラーが発生しました。
イベント クエリを開けませんでした。 指定されたクエリは無効です。」
のエラーが出て、出力できません。

どなたかご教授いただければ幸いです。

宜しくお願い致します。

Answer 1

%6005の%が不要と思います

wevtutil qe system /f:text /q:"*[System[(EventID=6005)]]" > c:\ivent.txt

これで実行できました

6006も含めるならこんな感じ
クエリは""で括ります

wevtutil qe system /f:text /q:"*[System[(EventID=6005 or EventID=6006)]]" > c:\ivent.txt

---

（XP マシンの場合）

cscript c:\windows\system32\eventquery.vbs /v /FI "Id eq 6005 or Id eq 6006" /l system >c:\evt-system.txt

Comments

[kumakumatan]

ありがとうございます。Windows7ではできました。しかし、WindowsXpのPCがあり、
その場合はどうしたらいいでしょうか？WindowsXPには、「C:\WINDOWS\system32\eventquery.vbs」があるみたいですがそれを利用して何かできませんか？？

宜しくお願いします。

[takito]

XPの場合はおっしゃるように eventquery.vbs をお使いになれば取れます
例を元投稿の方に追記しますね

Answer 2

■Windows7
wevtutil qe system /f:text /q:"*[System[(EventID=6005 or EventID=6006)]]" > c:\ivent.csv

■WindowsXp
Cscript "C:\WINDOWS\system32\eventquery.vbs" /l System /FI "Id eq 6005 or Id eq 6006" /FO List /V > c:\ivent.csv

にてやりたい事ができました。
後はコマンドにてＯＳ判定して、処理を分けたいと思います。

ご回答いただいた皆様ありがとうございました。

Answer 3

シャットダウン時のイベントログのIDですが異常終了した場合は6008が次回起動時に記録され、メッセージにシャットダウンの時刻が書き込まれます。
以前のシステム シャットダウン ( ‎2015/‎12/‎07 9:50:18) は予期されていませんでした。
[NT] イベント 6005、6006、6008、6009 がログに記録される

PowerShellを使用した方法を書いてみます。
Get-EventLog
Windows PowerShell でイベントログを取得する - ひまわりのむく方向

# ローカルマシン
Get-EventLog System | select EventID,MachineName,TimeWritten,Message | ? {$_.EventID -eq 6005 -or $_.EventID -eq 6006 -or $_.EventID -eq 6008 }

# リモートマシン
Get-EventLog System -ComputerName マシン名１，マシン名２  | select EventID,MachineName,TimeWritten,Message | ? {$_.EventID -eq 6005 -or $_.EventID -eq 6006 -or $_.EventID -eq 6008 }

# CSV出力
Get-EventLog System | select EventID,MachineName,TimeWritten,Message | ? {$_.EventID -eq 6005 -or $_.EventID -eq 6006 -or $_.EventID -eq 6008 } | Export-Csv 出力ファイルパス

Comments

[kumakumatan]

ありがとうございます。
PoweShellは現在、運用上利用しないので、今後のご参考にさせていただきます。
ありがとうございました。