无需使用WMI获取远程Windows服务器登录事件的方法

问题背景 #

当前应用程序通过WMIC远程轮询Windows机器的登录事件，使用的WMI查询命令如下：

-U user%password //myHost '--delimiter="|" "SELECT eventCode,eventType,timeGenerated,User,InsertionStrings,Message FROM win32_NTLogEvent WHERE Logfile='Security' AND NOT Message LIKE '%$%' AND (eventCode='4624') AND timeGenerated > '20221124190047.000000-000'"

该命令读取win32_NTLogEvent对象，筛选Security日志中eventCode为4624（登录事件）且符合时间条件的记录。现询问是否存在无需使用WMI的替代方法。

可行的替代方法 #

1. PowerShell远程调用 #

借助PowerShell远程功能直接查询事件日志，原生支持且无需依赖WMI：

Invoke-Command -ComputerName myHost -Credential (Get-Credential) -ScriptBlock {
  # 筛选最近24小时内的4624事件，排除含$的用户名
  Get-WinEvent -LogName Security -FilterHashtable @{
    Id = 4624
    StartTime = (Get-Date).AddHours(-24)
  } | Where-Object { $_.Properties[5].Value -notlike '*$*' } | 
    Select-Object Id, LevelDisplayName, TimeCreated, 
                  @{Name='User'; Expression={$_.Properties[5].Value}}, 
                  Message
}

可以通过FilterHashtable快速设置筛选条件，也能用FilterXPath实现更复杂的规则，返回结果可按需格式化，和原WMI查询的字段对应。

2. Windows事件收集器（WEC）+ 事件订阅 #

如果是长期、大规模的事件收集需求，配置事件订阅让远程机器主动推送事件，替代主动轮询：

• 在收集服务器上启用WEC服务，创建订阅，指定目标机器、事件ID4624、排除含$的用户名等筛选规则
• 目标机器配置事件转发权限，允许将符合条件的事件发送到收集服务器
  这种方式性能更优，适合批量管理多台机器的场景。

3. 原生命令行工具wevtutil #

使用Windows自带的wevtutil命令远程查询事件日志，轻量且无需额外依赖：

wevtutil qe Security /r:myHost /u:user /p:password /q:"*[System[EventID=4624] and System[TimeCreated[@SystemTime>'2022-11-24T19:00:47Z']] and not EventData[Data[@Name='TargetUserName']='*$*']]" /f:text /c:20

参数说明：

• /r指定远程机器
• /u//p提供身份验证信息
• /q用XPath编写筛选条件
• /f指定输出格式（text/xml等）
• /c限制返回的事件数量

4. 直接读取远程EVTX日志文件 #

如果拥有远程机器的文件共享权限，可以直接访问日志文件路径（例如\\myHost\c$\Windows\System32\winevt\Logs\Security.evtx），用解析库（比如Python的pyevtx、.NET的EventLogReader）读取并筛选事件。不过这种方法可能受系统文件锁定限制，更适合离线分析场景。

内容的提问来源于stack exchange，提问作者Igor_M