C# - Verschachteltes Ereignisprotokoll von benutzerdefinierter Anwendung lesen

Question

Ich verwende sysmon, um eine Reihe von Ereignisinformationen (Netzwerkverbindungen, DLL-Ladevorgänge usw.) zu erfassen. Ich möchte diese Informationen abrufen und für verschiedene Zwecke verwenden, aber es scheint keine Möglichkeit zu bestehen, die verschachtelten Protokolle abzurufen. Sie befinden sich bei

Event Viewer/Applications and Services/Microsoft/Windows/Sysmon/Operational 

Der gesamte Code, den ich ausprobiert habe, zieht nur die "Standard" Event Logs. Zum Beispiel:

EventLog[] eventLogs = EventLog.GetEventLogs(); 

hat „Application“, „Hardware-Events“, „Internet Explorer“ usw.

Ich weiß, wie zu erstellen und benutzerdefinierte Ereignisprotokolle abrufen, aber das scheint nicht gelten hier, da diese Protokolle nicht in den Standardpositionen sind. Jede mögliche Hilfe, die Sie zur Verfügung stellen können, würde sehr geschätzt werden!

Answer 1

Werfen Sie einen Blick auf den Namespace System.Diagnostics.Eventing.Reader. Insbesondere können Sie eine vollständige Liste der Log-Namen aus erhalten:

EventLogSession.GlobalSession.GetLogNames() 

Dies hat eine viel längere Liste als EventLog.GetEventLogs(). Andere nützliche Klassen in diesem Namensraum sind EventLogReader und EventLogWatcher.