Windows PowerShellで Windows イベントログを管理する

PowerShellは、Windows イベントログの管理と分析に役立つパワフルな方法を提供します。 このチュートリアルでは、PowerShell を使用してイベントログを操作する基本的な手順について説明します。

前提条件

このチュートリアルを続けるには、以下のことが必要です：

• PowerShell 3 以上がインストールされている
• Windows システムにイベントログが存在する（例えば、Event Viewer）

イベントログの理解

Windows イベントログは、システムイベントの記録であり、次のような内容を含みます： + システムのクラッシュやエラー + アプリケーションの失敗や警告 + セキュリティ関連のイベント（例えば、ログイン試行） + オーディング情報（例えば、ファイルアクセス）

イベントログは、Windows システムにバイナリー形式で保存されます。PowerShell は、これらのログを読み書きするための cmdlet を提供します。

イベントログの始まり

PowerShell でイベントログを始めるには、Get-EventLog cmdlet を使用します：

Get-EventLog -List | Format-Table

このコマンドでは、システムに存在するすべてのイベントログをリストアップします。特定のログを表示するには、次のように指定してください：

Get-EventLog -LogName System -Newest 10

このコマンドでは、System ログの最新の 10 件のイベントを表示します。

イベントログのフィルター

PowerShell でイベントログをフィルターするには、以下のような Criteria を使用できます：

• 時間:特定の日時範囲内でのイベント取得： powershell Get-EventLog -LogName System -After (Get-Date).AddDays(-30) このコマンドでは、System ログから 30 日前のイベントを取得します。 * イベント ID: イベント ID を指定してフィルター： powershell Get-EventLog -LogName System -EntryType Error -Index 1000,2000,3000

このコマンドでは、System ログのエラーイベント ID 1000, 2000, 3000 を取得します。

• メッセージ: イベントメッセージに指定された文字列を含むイベント取得： powershell Get-EventLog -LogName System -Message "ERROR: *" このコマンドでは、System ログのエラーイベントに "ERROR: " という文字列が含まれるものを取得します。 ### イベントログのエントリー操作 PowerShell で個々のイベントログエントリーを操作するには、Get-EventLog cmdlet を使用できます。例えば： * イベント読み取り:特定のイベントを読み取る： powershell $event = Get-EventLog -LogName System -Index 1234 $event | Format-List

このコマンドでは、System ログの ID 1234 のイベントを読み取ります。

• イベント作成:新しいイベントを作成する： powershell Add-Content -Path "C:\Windows\System32\winevt\logs\Application.evtx" -Value "New Event!" このコマンドでは、Application ログに "New Event!" というメッセージを持つ新しいイベントを作成します。 ### 提示とTips PowerShell でイベントログを操作する際の追加的な Tips は次のようなものです： * イベントログ保存: Export-EventLog cmdlet を使用してイベントをファイルに保存： powershell Export-EventLog -LogName System -Path "C:\Backup\events.evtx" -Force

このコマンドでは、System ログを events.evtx という名前のファイルにエクスポートします。

• イベントログ消去: Clear-EventLog cmdlet を使用して個々のイベントログやすべてのイベントログを消去： powershell Clear-EventLog -LogName System -Confirm:$false このコマンドでは、System ログを消去します。 * イベントログ監視: Register-EngineEvent cmdlet を使用してイベントが発生するたびに監視： powershell Register-EngineEvent -Event "PowerShell" -SourceIdentifier PowerShellEvent

このコマンドでは、PowerShell 関連のイベントを監視します。

结論

このチュートリアルでは、PowerShell を使用して Windows イベントログを管理する基本的な手順について説明しました。PowerShell を使用してシステムイベントを管理し、アナライズすることができます。各 cmdlet のドキュメントとセキュリティの注意点を常に確認しておくことをお勧めします。

参照

• Microsoft ドキュメント: イベントログ
• PowerShell ドキュメント: Get-EventLog
• PowerShell ドキュメント: Add-Content