| 导出 | wevtutil epl <通道> <.evtx 路径> |
|---|---|
| 通道 | Security、System、Application、PowerShell/Operational |
| 扩展 | 计划任务、终端服务等通道按需加导 |
| 校验 | Get-FileHash 全量登记 |
批量导出并哈希
批量导出并哈希
$dir='C:\evidence\evtx'; New-Item -ItemType Directory -Force $dir | Out-Null
foreach ($log in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational') { $f = Join-Path $dir ($log.Replace('/','_') + '.evtx'); wevtutil epl $log $f }
Get-ChildItem $dir | Get-FileHash -Algorithm SHA256 | Format-Table Hash, Path -AutoSize系统仍在写新事件：导出只是当时快照，务必记录导出时间点。