“事件查看器日志文件另存为 XML”仅保存 305 条记录

Question

我的事件查看器中有 1450 个事件日志。

当我使用日期过滤它时，比如从 2​​014 年 8 月 25 日到 2014 年 8 月 31 日，它会减少到 774。当我尝试通过选择“将事件文件另存为”然后选择 XML 作为文件类型来将日志文件保存为 XML 时，它只保存最后 305 条记录。

当我将其保存为 csv 时，我可以看到所有 774 个事件已保存。当我尝试将 1450 的完整列表保存为 XML 时，它会保存所有日志。只有在应用日期过滤器时才会出现此问题。

有任何想法吗？

Answer 1

有一个有趣的解决方法：

1. Save All Events As...并保存到.evtx
2. 打开保存的文件
3. Save All Events As...并保存到.csv/ .xml...

（来源）至少，这对我在 Windows 10 x64 版本 1709 上有效。

该问题本身显然是一个错误，您可以在反馈中心投票给他们修复它：对于普通用户，对于内部人员。

Answer 2

如果你检查过滤器中的 xml 部分，我们会得到类似的内容

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[(Level=2) and TimeCreated[timediff(@SystemTime) &lt;= 3600000]]]</Select>
  </Query>
</QueryList>

基本上这是应用过滤器的一个。您可以检查这些行吗？如果没有，您的条目是否会被丢弃？