23386


すみません。Windows2012Serverで、  
イベントログのアーカイブファイルからイベントログの詳細情報を取得したいと思っています。  
取得したい情報は、  
Get-EventLog -ComputerName 192.168.63.1 -LogName "Security" -After '2016/1/1'
-Before '2016/2/1' | Select-Object
EntryType,EventID,Source,TimeGenerated,Message | Where-Object {$_.EventID -in
4624,4778}

を実行したときのように下記の情報がほしいです。  
１．日時、Source  
２．Message  
３．イベントID  
４．サブジェクト  
・セキュリティID  
・アカウント名：  
・アカウントドメイン  
・ログオンID  
５．ログオンタイプ  
６．新しいログオン  
・セキュリティID  
・アカウント名：  
・アカウントドメイン  
・ログオンID  
・ログオンGUID  
７．プロセス情報  
・プロセスID  
・プロセス名  
８．ネットワーク情報  
・ワークステーション名: ACTSYS-ACT1B  
・ソース ネットワーク アドレス  
・ソース ポート  
９．詳細な認証情報  
・ログオンプロセス  
・認証パッケージ  
・移行されたサービス  
・パッケージ名 (NTLM のみ)  
・キーの長さ  
ーーーーーーーーーーーーーー  
（例）  
EntryType : SuccessAudit  
EventID : 4624  
Source : Microsoft-Windows-Security-Auditing  
TimeGenerated : 2016/03/01 15:51:00  
Message : アカウントが正常にログオンしました。  
サブジェクト:  
セキュリティ ID: S-1-0-0  
アカウント名: -  
アカウント ドメイン: -  
ログオン ID: 0x0

[code]

            ログオン タイプ:            3
    
            偽装レベル:        %%1833　　（これはなくてもいいです）
    
            新しいログオン:
                セキュリティ ID:        S-1-5-21-3598203821-372466494
                アカウント名:        nana
                アカウント ドメイン:        A-AC2B
                ログオン ID:        0x572e5efe
                ログオン GUID:        {00000000-0000-0000-0000-000000
    
            プロセス情報:
                プロセス ID:        0x0
                プロセス名:        -
    
            ネットワーク情報:
                ワークステーション名:    MA-PC2
                ソース ネットワーク アドレス:    -
                ソース ポート:        -
    
            詳細な認証情報:
                ログオン プロセス:        NtLmSsp
                認証パッケージ:    NTLM
                移行されたサービス:    -
                パッケージ名 (NTLM のみ):    NTLM V1
                キーの長さ:        128
    
[/code]

ーーーーーーーーーーーーーー

しかし  
get-winevent -path 'C:\Event-Backup\Archive-
Security-2016-01-27-11-29-40-032.evtx' -filterxpath
"*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and
(EventID=4624 or EventID=4778) and
TimeCreated[@SystemTime>='2016-01-05T15:00:00.000Z' and
@SystemTime<='2016-01-27T14:59:59.999Z']]]"

だと、  
TimeCreated Id LevelDisplayName Message

2016/01/02 8:59:39 4624 情報 アカウントが正常にログオンしました。...  
2016/01/02 8:49:39 4624 情報 アカウントが正常にログオンしました。...

と、  
１．日時とSource  
２．ログオン  
３．イベントID  
の情報しか取得できず、どうすればそれ以外の情報も取得できますでしょうか。  
もしわかれば教えてください。よろしくお願いいたします。


CC BY-SA 3.0
2016-03-15T12:33:24.693
23165
2016-03-23T09:44:44.763
13595
question
windows powershell
アーカイブからイベントログの詳細情報を取得


すみません。下記で何とか解決しそうです。失礼しました。

get-winevent -FilterHashtable @{path='C:\Event-Backup\Archive-
Security-2016-01-27-11-29-40-032.evtx'; logname="Security"; id = (4778,4624);
starttime = '2016-01-25T15:00:00.000Z'; endtime = '2016-01-31T14:59:59.999Z' }
| select *


CC BY-SA 3.0
2016-03-23T09:44:44.763
23386
2016-03-23T09:44:44.763
13595
23165
answer