日志文件默认存储路径：
C:\\Windows\\System32\\winevt\\Logs\\

目录结构示例：
winevt\\Logs\\
  ├── Application.evtx        ← 应用程序日志
  ├── Security.evtx            ← 安全日志
  ├── System.evtx              ← 系统日志
  ├── Setup.evtx               ← 安装日志
  ├── ForwardedEvents.evtx     ← 转发的事件日志
  └── Microsoft-Windows-*.evtx ← 各类专用日志

组策略路径：
计算机配置
  └── 管理模板
      └── Windows 组件
          └── 事件日志服务
              ├── Application（应用程序日志）
              │   ├── 指定日志文件的最大大小 (KB)
              │   ├── 日志文件位置
              │   └── 日志满时的行为（覆盖/归档/不覆盖）
              ├── Security（安全日志）
              │   ├── 指定日志文件的最大大小 (KB)
              │   └── ...
              └── System（系统日志）
                  └── ...

# 查看当前安全日志的配置
wevtutil gl Security

# 设置安全日志最大大小为1GB（单位：字节）
wevtutil sl Security /ms:1073741824

# 基础用法：获取最近10条安全日志
Get-WinEvent-LogName Security -MaxEvents 10

# 按事件ID筛选：查找所有登录失败事件
Get-WinEvent-FilterHashtable @{
    LogName   = 'Security'
    ID        = 4625
}|Select-Object TimeCreated, Message

# 按时间范围筛选：最近24小时内的账户创建事件
Get-WinEvent-FilterHashtable @{
    LogName   = 'Security'
    ID        = 4720
    StartTime = (Get-Date).AddDays(-1)
}|Format-List TimeCreated, Message

# 使用XPath查询（更灵活）
Get-WinEvent-FilterXml @\"
<QueryList>
  <Query Id=\"0\" Path=\"Security\">
    <Select Path=\"Security\">
      *[System[(EventID=4625) and TimeCreated[timediff(@SystemTime) &lt;= 86400000]]]
    </Select>
  </Query>
</QueryList>
\"@

# 查询远程计算机的事件日志
Get-WinEvent-ComputerName Server01 -LogName System -MaxEvents 5

# 前提：如果使用自定义事件源，需要先注册
New-EventLog-LogName Application -Source \"MySecurityScript\"

# 写入一条信息级别的事件
Write-EventLog-LogName Application `
-Source \"MySecurityScript\" `
-EventId 1000 `
-EntryType Information `
-Message \"安全扫描已完成，未发现异常。\"

# 写入一条警告级别的事件
Write-EventLog-LogName Application `
-Source \"MySecurityScript\" `
-EventId 1001 `
-EntryType Warning `
-Message \"检测到3次失败的登录尝试，来源IP: 192.168.1.100\"

# 写入一条错误级别的事件
Write-EventLog-LogName Application `
-Source \"MySecurityScript\" `
-EventId 1002 `
-EntryType Error `
-Message \"安全扫描执行失败：无法连接到目标服务器。\"

# 脚本：Check-AdminGroupChanges.ps1
# 检查管理员组成员变更并记录到事件日志

try{
$adminMembers = Get-LocalGroupMember-Group\"Administrators\"
$currentCount = $adminMembers.Count

# 与基线对比（假设基线存储在文件中）
$baselineCount = Get-Content\"C:\\Baselines\\AdminCount.txt\"

if($currentCount-ne$baselineCount){
Write-EventLog-LogName Application `
-Source \"AdminGroupMonitor\" `
-EventId 2001 `
-EntryType Warning `
-Message \"管理员组成员数量变更：基线=$baselineCount, 当前=$currentCount\"
}else{
Write-EventLog-LogName Application `
-Source \"AdminGroupMonitor\" `
-EventId 2000 `
-EntryType Information `
-Message \"管理员组检查通过，成员数量：$currentCount\"
}
}catch{
Write-EventLog-LogName Application `
-Source \"AdminGroupMonitor\" `
-EventId 2099 `
-EntryType Error `
-Message \"检查脚本执行失败：$($_.Exception.Message)\"
}

rem 创建一条信息级别的事件
eventcreate /T INFORMATION /ID 100 /L APPLICATION /SO \"BackupScript\" /D \"每日备份任务已成功完成。\"

rem 创建一条警告级别的事件
eventcreate /T WARNING /ID 200 /L APPLICATION /SO \"DiskMonitor\" /D \"磁盘C:剩余空间不足10%%，请及时清理。\"

rem 创建一条错误级别的事件
eventcreate /T ERROR /ID 300 /L APPLICATION /SO \"ServiceCheck\" /D \"关键服务SQL Server Agent未运行。\"

@echo off
rem === 每日安全检查批处理脚本 ===

echo 正在执行安全检查...

rem 检查Windows防火墙状态
netsh advfirewall show allprofiles state | findstr /i \"ON\" >nul
if %errorlevel%==0 (
    eventcreate /T INFORMATION /ID 101 /L APPLICATION /SO \"SecurityCheck\" /D \"Windows防火墙状态正常：所有配置文件已启用。\"
) else (
    eventcreate /T ERROR /ID 102 /L APPLICATION /SO \"SecurityCheck\" /D \"警告：检测到Windows防火墙存在未启用的配置文件！\"
)

rem 检查关键服务是否运行
sc query WinDefend | findstr /i \"RUNNING\" >nul
if %errorlevel%==0 (
    eventcreate /T INFORMATION /ID 103 /L APPLICATION /SO \"SecurityCheck\" /D \"Windows Defender服务运行正常。\"
) else (
    eventcreate /T ERROR /ID 104 /L APPLICATION /SO \"SecurityCheck\" /D \"严重：Windows Defender服务未运行！\"
)

echo 安全检查完成。

rem 打开本地事件查看器
eventvwr

rem 直接连接到远程计算机的事件查看器
eventvwr \\\\Server01

rem 查看帮助信息，了解所有可用的语法变体
eventvwr /?

# DailySecurityReport.ps1
# 生成过去24小时的安全事件摘要

$startTime = (Get-Date).AddDays(-1)

# 收集关键安全事件
$failedLogins = (Get-WinEvent-FilterHashtable @{
    LogName = 'Security'; ID = 4625; StartTime = $startTime
}-ErrorAction SilentlyContinue).Count

$accountCreations = (Get-WinEvent-FilterHashtable @{
    LogName = 'Security'; ID = 4720; StartTime = $startTime
}-ErrorAction SilentlyContinue).Count

$groupChanges = (Get-WinEvent-FilterHashtable @{
    LogName = 'Security'; ID = 4732; StartTime = $startTime
}-ErrorAction SilentlyContinue).Count

$logClears = (Get-WinEvent-FilterHashtable @{
    LogName = 'Security'; ID = 1102; StartTime = $startTime
}-ErrorAction SilentlyContinue).Count

# 生成摘要
$summary = @\"
===== 每日安全摘要 =====
时间范围: $($startTime.ToString('yyyy-MM-dd HH:mm')) 至 $(Get-Date-Format 'yyyy-MM-dd HH:mm')
登录失败次数:     $failedLogins
新建账户数量:     $accountCreations
安全组变更次数:   $groupChanges
日志清除事件:     $logClears
========================
\"@

Write-Host$summary

# 将摘要写入事件日志
Write-EventLog-LogName Application `
-Source \"DailySecurityReport\" `
-EventId 5000 `
-EntryType Information `
-Message $summary

# 如果检测到高风险事件，写入警告
if($logClears-gt 0 -or$failedLogins-gt 50){
Write-EventLog-LogName Application `
-Source \"DailySecurityReport\" `
-EventId 5001 `
-EntryType Warning `
-Message \"检测到高风险安全事件，请立即检查！日志清除: $logClears, 登录失败: $failedLogins\"
}