| 导出 | wevtutil epl Security C:\evidence\Security.evtx |
|---|---|
| 查询 | wevtutil qe Security /c:50 /rd:true /f:text |
| 条件 | qe 支持 /q:"*[System[(EventID=4625)]]" |
| 校验 | Get-FileHash SHA256 入清单 |
导出并校验事件日志
导出并校验事件日志
New-Item -ItemType Directory -Force C:\evidence | Out-Null
wevtutil epl Security C:\evidence\Security.evtx
wevtutil epl System C:\evidence\System.evtx
wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:20 /rd:true /f:text
Get-FileHash C:\evidence\Security.evtx -Algorithm SHA256 | Format-List分析与导出分离：原件只读保存，分析在副本上做；导出件立即计算 SHA256 并登记。