C# - 从自定义应用程序读取嵌套事件日志

Question

我正在使用 sysmon 来捕获大量事件信息（网络连接、DLL 加载等）。我想提取该信息并将其用于各种目的，但似乎没有任何方法可以检索嵌套日志。他们住在

Event Viewer/Applications and Services/Microsoft/Windows/Sysmon/Operational

我试过的所有代码都只提取“标准”事件日志。例如：

EventLog[] eventLogs = EventLog.GetEventLogs();

有“应用程序”、“硬件事件”、“Internet Explorer”等

我知道如何创建和检索自定义事件日志，但这似乎不适用于此处，因为这些日志不在标准位置。如果您能提供任何帮助，我们将不胜感激！

Answer 1

看看 System.Diagnostics.Eventing.Reader 命名空间。特别是，您可以从以下位置获得完整的日志名称列表：

EventLogSession.GlobalSession.GetLogNames()

这个列表比 EventLog.GetEventLogs() 更完整。此命名空间中其他有用的类是 EventLogReader 和 EventLogWatcher.

C# - Read Nested Event Log From Custom Application