PowerShell中如何使用多条件FilterHashtable筛选Windows事件

你原命令无法返回预期结果有两个核心问题：

1. 字段名写错：4688进程创建事件中，被创建进程的路径对应字段为NewProcessName，你写的ParentProcessName是父进程路径字段，和你要筛选的目标字段不匹配
2. 筛选逻辑不兼容：Get-WinEvent的-FilterHashtable参数仅对日志名、事件ID、时间、级别这类事件核心元数据支持完整筛选，对EventData节点下的扩展字段（比如进程路径、命令行这类）只支持精确等值匹配，不支持*通配符模糊匹配，直接在哈希表里写带通配符的进程路径条件不会生效。

优先用-FilterHashtable完成可精确匹配条件的筛选（最大化缩小事件范围，提升查询性能），再通过管道用Where-Object完成进程路径的模糊匹配，推荐两种写法：

写法1：高性能版本（适合大日志量场景） #

直接通过事件属性索引取进程路径，不需要解析XML，速度最快：

Get-WinEvent -FilterHashtable @{
    Logname = 'Security'
    ID = 4688
    # 可按需加时间范围进一步提速，比如只查最近7天的事件：StartTime = (Get-Date).AddDays(-7)
} | Where-Object {
    # 4688事件第6个属性（索引为5）对应NewProcessName字段，值为进程完整路径
    $_.Properties[5].Value -like '*OAW*'
}

写法2：高兼容版本（适合不同Windows版本场景） #

通过解析事件XML取字段值，不需要记属性索引，跨系统版本兼容性更好：

Get-WinEvent -FilterHashtable @{
    Logname = 'Security'
    ID = 4688
} | Where-Object {
    $eventContent = [xml]$_.ToXml()
    $processPath = $eventContent.Event.EventData.Data | Where-Object Name -eq 'NewProcessName' | Select-Object -ExpandProperty '#text'
    $processPath -like '*OAW*'
}

• 读取Security安全日志需要以管理员身份启动PowerShell，否则会抛出权限不足错误
• 如果需要筛选父进程路径包含OAW的场景，只需要把上述匹配逻辑里的字段换成ParentProcessName即可（对应属性索引为21，XML筛选时匹配Name为ParentProcessName的节点）
• 不建议不加任何范围条件直接全量拉取Security日志，日志量较大时会导致查询耗时过长，优先通过时间范围、事件ID缩小查询范围。

内容的提问来源于stack exchange，提问作者big0