查询指定时间内审核失败的事件日志

查询指定时间内审核失败的事件日志，必须要加namespace，否则无返回

$s = get-date "3/30/2016 13:54:03"
$e = get-date "3/30/2016 13:55:03"
$stime = [System.Management.ManagementDateTimeConverter]::ToDmtfDateTime($s)
$etime = [System.Management.ManagementDateTimeConverter]::ToDmtfDateTime($e)
Get-CimInstance Win32_NTLogEvent -namespace "root\cimv2" -filter "logfile='security' and type='审核失败' and TimeGenerated>='$stime' and TimeGenerated<='$etime'"

 

如果使用gwmi，时间格式还需要再次转换，无法直接使用。

Get-CimInstance需要PS3.0的支持。