| 枚举 | wevtutil el 列出全部通道 |
|---|---|
| 筛选 | 关注 Sysmon、PowerShell、TaskScheduler、TerminalServices |
通道核对
通道核对
wevtutil el | Select-String 'Sysmon|PowerShell|TaskScheduler|TerminalServices'
Get-WinEvent -ListLog 'Microsoft-Windows-PowerShell/Operational' | Select-Object LogName, IsEnabled, RecordCount通道存在但未启用/已清空都是重要事实，直接写进数据覆盖说明。