Windows Server のイベントログを保存してEVTX形式で保存したい。

Question

お世話になっております。
Windows Server のイベントログの内、system,Securityのログを毎月1日に
前月の1か月分をEVTX形式で保存しログ監視を実施したいと思っております。

以下、有志様の資料を参考に対応しEVTX形式で出力はされるのですが、ログ内容が
取れず苦慮しております。
参考）
https://poga.jp/?p=145
https://pig-log.com/eventlog-export-evtx/

EVTX形式は出力されるのですが、記載されているイベントが無くログが取得できない
為、ご教授いただければ幸いです。

Answer 1

中途半端な回答ですが、少し分かったことがあったので記載します。

https://poga.jp/?p=145

恐らく $filter で指定している日付の条件に合致していないのではないかと思います。
試しに ExportLogAndMessage の第３引数を $filter → "*" に変えて試してみて下さい。
自分のローカルの Windows 10 環境ではこれで、出力されるようになることを確認しました。

$evsession.ExportLogAndMessages($logname,"LogName","*",$outfile,$True,$locale)

Comments

[cx20]

> https://pig-log.com/eventlog-export-evtx/

単純に `wevtutil` コマンドをコマンドラインで実行した場合は指定条件で `.evtx` ファイルが出力されることを確認しました。

wevtutil epl System system.evtx /q:"*[System[TimeCreated[@SystemTime>='2021-09-15T00:00:00' and @SystemTime<='2021-09-16T00:00:00']]]"

wevtutil epl Security security.evtx /q:"*[System[TimeCreated[@SystemTime>='2021-09-15T00:00:00' and @SystemTime<='2021-09-16T00:00:00']]]"

＜参考情報＞
■ Windowsのイベントログを日付期間で抽出する
https://qiita.com/yaju/items/ac064b15b48f5e533293

[mta77]

ご連絡が遅くなって申し訳ありません。上記内容について出力可能であった為、ベストアンサーとさせて頂きます。ありがとうございました。