Get-WinEvent比Get-EventLog慢10倍的性能问题咨询

性能差异原因 #

• 底层API实现不同：Get-EventLog依赖旧的Event Log API，针对传统事件日志的读取逻辑做了轻量化优化，读取最新条目时IO操作更直接；而Get-WinEvent基于新的Windows Event Log API（EventLogReader），功能更全面但默认会构建包含更多元数据的事件对象，额外开销更大。
• 事件收集逻辑差异：你的代码中，Get-WinEvent的-MaxEvents 1000是从匹配ProviderName的事件池里取前1000条，但Security日志里大量事件不属于Microsoft-Windows-Security-Auditing提供者，导致它需要扫描大量无关条目才能凑够1000条目标事件；而Get-EventLog的-Newest 1000是直接从Security日志末尾读取最新1000条，不管提供者，这一步的扫描范围更小、速度更快。
• 事件对象解析开销：Get-WinEvent返回的事件对象包含更丰富的属性（比如Properties集合、任务显示名等），这些属性的解析过程会消耗更多CPU和内存；而Get-EventLog返回的对象结构更简单，解析速度更快。

优化建议 #

• 用-FilterHashtable做服务器端过滤：这是提升Get-WinEvent性能的核心手段，把ID过滤逻辑交给事件日志服务处理，避免客户端扫描大量无关数据。示例代码：

Measure-Command -Expression {
    $events = Get-WinEvent -FilterHashtable @{
        ProviderName = 'Microsoft-Windows-Security-Auditing'
        ID = $logids.Keys
    } -MaxEvents 1000
}

• 限制返回属性：如果不需要完整的事件对象，用-Property参数指定所需属性，减少解析开销。比如只获取ID和时间：

Get-WinEvent -FilterHashtable @{ProviderName='Microsoft-Windows-Security-Auditing'; ID=$logids.Keys} -MaxEvents 1000 -Property ID, TimeCreated

• 避免客户端二次过滤：尽量将所有筛选条件整合到-FilterHashtable中，让事件日志服务提前完成过滤，减少内存中处理的数据量。

内容的提问来源于stack exchange，提问作者Bummibaer