如何使用VB.NET读取从其他计算机导出的.evtx文件？

你原来使用的System.Diagnostics.EventLog类仅支持访问本地或远程计算机的实时事件日志，无法直接读取导出的.evtx文件。要处理这类离线日志文件，需要使用.NET提供的System.Diagnostics.Eventing.Reader命名空间下的相关类。

实现步骤及代码示例 #

1. 首先引入对应的命名空间：

Imports System.Diagnostics.Eventing.Reader

2. 使用EventLogReader打开目标.evtx文件并遍历事件：

' 指定你的evtx文件路径
Dim evtxPath As String = "D:\Logs\ExportedSecurityLog.evtx"

' 使用Using语句确保资源自动释放
Using logReader As New EventLogReader(evtxPath, PathType.FilePath)
    Dim currentEvent As EventRecord = logReader.ReadEvent()
    
    ' 循环读取所有事件
    Do While currentEvent IsNot Nothing
        ' 示例：读取常用事件属性
        Console.WriteLine($"事件ID: {currentEvent.Id}")
        Console.WriteLine($"事件级别: {currentEvent.LevelDisplayName}")
        Console.WriteLine($"发生时间: {currentEvent.TimeCreated?.ToString("yyyy-MM-dd HH:mm:ss")}")
        Console.WriteLine($"事件来源: {currentEvent.ProviderName}")
        Console.WriteLine($"事件描述: {currentEvent.FormatDescription()}")
        Console.WriteLine("=====================================")
        
        ' 读取下一条事件
        currentEvent = logReader.ReadEvent()
    Loop
End Using

关键说明 #

• EventLogReader通过指定文件路径和PathType.FilePath来加载离线日志文件
• EventRecord类包含事件的所有详细属性，可根据需求获取对应字段
• FormatDescription()方法会自动格式化事件的描述文本，无需手动解析事件数据
• 确保程序对目标.evtx文件拥有读取权限，否则会抛出权限异常

内容的提问来源于stack exchange，提问作者Rockb