PowerShell正则匹配Windows安全日志4624失败问题求助

问题原因 #

你的组合正则匹配失败主要有三点原因：

• 捕获组开头多了不必要的空格：正则里(?<Logon> Logon Type:...的开头空格，会强制要求Logon Type:前必须有空格，但实际日志中的字段开头无空格（参考你单独匹配的结果Logon Type: 5）。
• 匹配规则错误：第一个捕获组里的\S*\d+用错了，\S*匹配非空白字符，但Logon Type:后面是空白字符加数字，应该用\s*\d+才能正确匹配空格后的数字。
• 未考虑字段间隔：Event 4624日志中Logon Type和Account Name并非连续出现，中间存在其他日志内容，直接拼接正则会要求两个字段紧挨着，自然匹配失败。

修正后的代码 #

$Text= Get-Content -Path 'D:\scripts\TestData\EventLog Message.txt' -Raw
# 非贪婪匹配字段间的任意内容，同时修正匹配规则
[regex]$rx ='(?<Logon>Logon Type:\s*\d+).*?(?<Name>Account Name:\s*\w+)'
$matchResult = $rx.Match($text)

# 输出匹配结果
if ($matchResult.Success) {
    Write-Host "匹配到的Logon Type: $($matchResult.Groups['Logon'].Value)"
    Write-Host "匹配到的Account Name: $($matchResult.Groups['Name'].Value)"
} else {
    Write-Host "匹配失败"
}

额外说明 #

• 添加-Raw参数读取文件：确保将整个日志内容作为单个字符串处理，避免Get-Content默认按行拆分导致跨内容匹配失败。
• .*?是非贪婪模式：会尽可能少地匹配两个字段间的内容，避免日志中存在重复字段时出现匹配错误。
• 支持域账户格式：如果你的Account Name是域用户（如DOMAIN\username），可将正则中的\w+替换为[\w\\]+，适配带反斜杠的账户名。

内容的提问来源于stack exchange，提问作者jazzz