| Windows | System 日志 6005 启动、6006 停止、6008 意外关机 |
|---|---|
| Linux | journald boot 分段、shutdown 记录 |
枚举锚点
枚举锚点
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,6006,6008,6013} -MaxEvents 10 | Select-Object TimeCreated, Id, ProviderName先按锚点切窗口，再在窗口内做细粒度分析，时间线更清晰。