事件日志中事件的唯一标识符答案

【问题标题】：Unique identifier for an event in Event Log事件日志中事件的唯一标识符
【发布时间】：2012-12-10 09:39:21
【问题描述】：

我有一个 Windows 事件日志文件 (.evt/.evtx)，我想使用 power shell 从事件日志中选择一个特定事件。我看到类似 cmdlet 的

$provider = Get-WinEvent -listprovider $EventSource
$ProviderEvent = $provider.events | Where-Object {($_.ID -eq 4)}

查询事件日志，但在我的.evtx中，有多个事件ID相同。

因此，我的问题是 - 如何确定单个事件（使用哪些字段）？

【问题讨论】：

【解决方案1】：

检查 RecordId 属性：

$provider.events | Where-Object {$_.ID -eq 4} | foreach {$_.RecordId}

【讨论】：