如何无需解析evtx文件获取指定时间后事件日志的完整扩展描述？

算力阿峰

2026-9-25

解决方案

你需要的事件日志扩展描述无需解析.evtx文件即可获取，Get-WinEvent -ListLog返回的EventLogConfiguration对象本身就内置了Description属性，直接读取即可，该属性存储了系统注册的对应事件日志的完整官方说明文本。

如果需要进一步获取该日志关联的事件发布者的元数据说明，也可以搭配Get-WinEvent -ListProvider命令读取，全程不需要访问evtx原始文件内容。

修改后的代码如下：

$StartTime = (Get-Date).AddMinutes(-5)

$rawdata = Get-WinEvent -ListLog *

$eventlogs = @{}

foreach ($record in $rawdata) {
    if ($record.LastWriteTime -gt $StartTime) {
        # 读取日志自带的扩展描述
        $logExtensionDesc = $record.Description
        # 可选：读取关联事件提供者的描述信息
        $providerExtensionDesc = $null
        if (-not [string]::IsNullOrWhiteSpace($record.OwningProviderName)) {
            $providerMeta = Get-WinEvent -ListProvider $record.OwningProviderName -ErrorAction SilentlyContinue
            $providerExtensionDesc = $providerMeta?.Description
        }
        $eventlogs[$record.GetHashCode()] = @{
            'LogType' = $record.LogType
            'Name' = $record.LogName
            'Provider' = $record.OwningProviderName
            'LogExtensionDescription' = $logExtensionDesc
            'ProviderExtensionDescription' = $providerExtensionDesc
            'Path' = $record.LogFilePath
            'Mode' = $record.LogMode
            'Time' = $record.LastWriteTime
        }
    }
}