如何优化Get-WinEvent速度，快速查询Windows安全日志中的账号活动

核心优化点 #

• 前置系统层过滤，从根源减少需要处理的事件量
  此前优化仅增加了时间范围、事件ID过滤，用户名判断还是在拉取全部事件后在PowerShell层执行，120万条事件的序列化、遍历自然耗时极长。事件查看器速度快的核心是通过Windows事件API在内核层面完成所有过滤逻辑，仅返回符合要求的少量结果。
  本次优化直接通过XPath查询将「时间范围、事件ID、目标用户名」三个过滤条件全部交给系统层执行，不需要拉取全量日志，直接只返回你需要的三个用户的相关事件，处理量级从百万级降到百/千级，速度自然和事件查看器一致。
  你之前加了事件ID还是慢的原因就是没有过滤用户名，依然要拉取对应事件ID下所有用户的日志。
• 移除高消耗冗余操作
  1. 删掉Write-Progress：每处理1条事件就刷新一次进度条，120万次UI刷新占用了超过60%的执行时间，无必要可直接删除
  2. 废除XML解析逻辑：每个事件转XML再查询属性是非常重的操作，直接读取事件自带的Properties属性获取字段，速度提升10倍以上
• 优化匹配与输出逻辑
  固定字段直接用索引读取属性，模糊匹配场景优先用轻量级匹配替代正则，输出用结构化的CSV格式，处理效率更高。

优化后完整代码 #

$startTime = Get-Date
# 可自定义配置项
$checkDays = 7 # 检查最近N天的日志，支持自定义修改
$targetUsers = @('User1', 'User2', 'User3') # 要查询的目标用户名
$targetEventIds = @(4624, 4625) # 按需增删事件ID，比如新增4634（账号注销）等

# 构造系统层XPath过滤规则
$startDate = (Get-Date).AddDays(-$checkDays).ToUniversalTime().ToString("yyyy-MM-dd'T'HH:mm:ss.fff'Z'")
$eventIdFilter = $targetEventIds | ForEach-Object { "System/EventID=$_" }
$userFilter = $targetUsers | ForEach-Object { "Event/EventData/Data[@Name='TargetUserName']='$_'" }
$xPathFilter = @"
*[
    System/TimeCreated/@SystemTime >= '$startDate'
    and System/Provider/@Name='Microsoft-Windows-Security-Auditing'
    and ($($eventIdFilter -join ' or '))
    and ($($userFilter -join ' or '))
]
"@

# 仅拉取完全符合过滤规则的事件，不需要额外遍历判断
$entries = Get-WinEvent -LogName Security -XPath $xPathFilter -ComputerName localhost | ForEach-Object {
    # 4624/4625事件属性顺序固定，直接按索引取值效率最高
    [PSCustomObject]@{
        Time     = $_.TimeCreated
        UserName = $_.Properties[5].Value
        Computer = $_.Properties[11].Value
    }
}

# 导出结果
$filetime = Get-Date -Format "yyyyMMddHHmm"
$entries | Export-Csv -Path "C:\Temp\UsedAccounts$filetime.csv" -UseCulture -NoTypeInformation

# 输出执行耗时
$endTime = Get-Date
'Duration: {0:hh}h {0:mm}min {0:ss}sec' -f ($endTime - $startTime)

适配说明 #

如果需要查询的事件ID不在4624/4625范围内，可先取一条对应事件执行$event.Properties | Format-List Value确认目标字段的索引，替换代码中的索引值即可。如果不确定索引，也可以用轻量匹配替代XML解析，性能依然远高于转XML：

$userName = $_.Properties | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty Value

如果需要模糊匹配用户名，只需要将XPath中用户名判断的=改为contains()函数即可。

内容的提问来源于stack exchange，提问作者Salve