C# - Đọc nhật ký sự kiện được tổ chức từ ứng dụng tùy chỉnh

Question

Tôi đang sử dụng sysmon để nắm bắt một loạt thông tin sự kiện (kết nối mạng, tải DLL, v.v.). Tôi muốn lấy thông tin đó và sử dụng nó cho các mục đích khác nhau, nhưng dường như không có cách nào để lấy các bản ghi lồng nhau. Họ cư trú tại

Event Viewer/Applications and Services/Microsoft/Windows/Sysmon/Operational 

Tất cả mã tôi đã cố gắng chỉ lấy Nhật ký sự kiện "chuẩn". Ví dụ:

EventLog[] eventLogs = EventLog.GetEventLogs(); 

có "ứng dụng", "Phần cứng Sự kiện", "Internet Explorer", vv

tôi biết làm thế nào để tạo ra và lấy các bản ghi sự kiện tùy chỉnh, nhưng điều đó dường như không áp dụng ở đây, vì các nhật ký này không ở các vị trí tiêu chuẩn. Bất kỳ trợ giúp nào bạn có thể cung cấp sẽ được đánh giá rất nhiều!

Answer 1

Hãy xem không gian tên System.Diagnostics.Eventing.Reader. Cụ thể, bạn có thể nhận danh sách đầy đủ tên nhật ký từ:

EventLogSession.GlobalSession.GetLogNames() 

Danh sách này hoàn chỉnh hơn EventLog.GetEventLogs(). Các lớp hữu ích khác trong không gian tên này là EventLogReader và EventLogWatcher.