首先将windows安全日志导出，步骤如下：
运行eventvwr.msc命令，打开windows日志，如下图，将所有事件另存为：
保存完之后是一个.evtx格式的文件，将使用log parser分析这个导出的日志：
分析命令如下：
LogParser.exe -i:EVT "SELECT TimeGenerated,EXTRACT_TOKEN(Strings,0,\'|\') AS USERNAME,EXTRACT_TOKEN(Strings,2,\'|\') AS SERVICE\_NAME,EXTRACT_TOKEN(Strings,5,\'|\') AS Client_IP FROM \'C:\Users\huowu\Desktop\111.evtx\' WHERE EventID=4798"