C# - 从自定义应用程序中读取嵌套事件日志

Question

我正在使用sysmon捕获一堆事件信息(网络连接,DLL加载等).我想提取该信息并将其用于各种目的,但似乎没有任何方法可以检索嵌套日志.他们住在

Event Viewer/Applications and Services/Microsoft/Windows/Sysmon/Operational

我尝试过的所有代码都只提取"标准"事件日志.例如:

EventLog[] eventLogs = EventLog.GetEventLogs();

有"应用程序","硬件事件","Internet Explorer"等.

我知道如何创建和检索自定义事件日志,但这似乎不适用于此,因为这些日志不在标准位置.您将提供的任何帮助将非常感谢!

Answer 1

看一下System.Diagnostics.Eventing.Reader命名空间.特别是,您可以从以下位置获取完整的日志名称列表:

EventLogSession.GlobalSession.GetLogNames()

这比一个更完整的列表EventLog.GetEventLogs().此命名空间中的其他有用类是EventLogReader和EventLogWatcher.