| TimeCreated | 日志服务写入事件的时间，受系统时钟影响 |
|---|---|
| 事件内时间 | 产生动作的时间，字段名随提供程序不同 |
查看字段结构
查看字段结构
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1} -MaxEvents 1 | ForEach-Object { $_.ToXml() } | Select-String 'UtcTime|TimeCreated'批量取事件内时间可按 XML 字段名解析，不要按固定下标取 Properties。