日志导出与归档是什么
排查到结论、或者要把证据移交给别人时，事件日志要落成文件。有两种路子：用 wevtutil epl 把通道导出为 EVTX 原始文件，字段完整、可再导入分析；或用 Get-WinEvent 筛选后转成 CSV/JSON，适合做报表与批量比对。归档时务必连同导出时间、时间范围、主机名一起记录，否则过两天没人说得清这份日志覆盖了哪一段时间。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| 原始导出 | wevtutil epl <通道> <文件.evtx>；GUI 也可“保存所有事件” |
| 结构化导出 | Get-WinEvent ... | Export-Csv / ConvertTo-Json |
| 注意编码 | Export-Csv 加 -Encoding UTF8，避免 Excel 打开中文乱码 |
| 大小评估 | 安全与系统通道可能上百 MB，导出前先看事件数与时间范围 |
| 复查方式 | 导出的 EVTX 可在其他机器上打开，也可用 Get-WinEvent -Path 读取 |
典型使用场景
- 故障工单归档：把相关通道日志落盘随单提交
- 交接给他人分析：EVTX 原始文件字段最全，不易被质疑
- 做月度报表：筛选特定事件后转 CSV 便于统计
- 取证留痕：证据日志导出后算哈希并记录保管信息
- 跨机器比对：多台主机导出同一事件 ID 后并排分析
常用示例
常用示例
wevtutil epl System C:\temp\system_20261013.evtx # 原始导出，字段完整
wevtutil epl Security C:\temp\security_20261013.evtx # 安全日志（需管理员）
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2; StartTime=(Get-Date).AddDays(-3)} | Select-Object TimeCreated, Id, ProviderName, Message | Export-Csv C:\temp\sys_err.csv -NoTypeInformation -Encoding UTF8
Get-WinEvent -Path C:\temp\system_20261013.evtx -MaxEvents 20 # 读回导出的文件核对
Get-FileHash C:\temp\system_20261013.evtx | Select-Object Algorithm, Hash # 留证时记录哈希两种格式怎么选
| 对比项 | EVTX 原始导出 | CSV / JSON |
|---|---|---|
| 字段完整性 | 全部保留，含二进制数据 | 只保留所选列 |
| 可否再分析 | 可导入或就地查询 | 需重新做脚本处理 |
| 文件体积 | 较大 | 较小 |
| 可读性 | 需事件查看器或命令读取 | Excel、脚本直接打开 |
| 适用场景 | 取证、交接、深度分析 | 报表、统计、快速比对 |
安全日志导出需要管理员权限，且导出过程只读不影响审计记录；但导出文件本身包含账号名与登录来源，属于敏感资料，传输与存放都要按数据处理规范走。
CSV 用默认编码导出后在 Excel 里中文会乱码，加上 -Encoding UTF8 再交付；同时 CSV 会丢掉二进制字段，需要完整字段时请用 EVTX。