知識マップ: Get-WinEventでイベントログを実務的に調べる ── 絞り込みの速さが調査時間を決める

記事「Get-WinEventでイベントログを実務的に調べる ── 絞り込みの速さが調査時間を決める」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

この記事はGet-WinEventによるイベントログ調査を扱い、Windows PowerShell専用でクラシックログしか読めないGet-EventLogに対しGet-WinEventがその後継であると位置づけます。絞り込みはWhere-Objectでパイプ後段に行うと全件を読み込んでから捨てるため遅くなり、FilterHashtableやFilterXPathでイベントログ側に絞り込ませることでこれを防げます。ToXml()のイベントデータを使えば表示言語に依存する値の揺れを避けられ、セキュリティログの読み取りには管理者権限かEvent Log Readersグループへの追加が必要です。複数台の調査は単発ならInvoke-Command、恒常的な集約ならWindowsイベント転送が推奨され、いずれも最終的にはGet-WinEventによる取得を前提とします。

flowchart LR
    accTitle: Get-WinEventによるイベントログ調査の知識マップ
    accDescr: Get-WinEventがGet-EventLogの後継であること、FilterHashtableとFilterXPathによるサーバー側の絞り込みが後段のWhere-Objectより優れること、ToXml()のイベントデータで言語非依存の値を取り出せること、セキュリティログの読み取り権限、複数台からの収集手段の関係を示す図
    get_winevent["Get-WinEvent"]
    filter_hashtable["FilterHashtable"]
    get_eventlog["Get-EventLog"]
    where_object["Where-Object"]
    slow_eventlog_query["後段フィルタによる調査の遅延"]
    filter_xpath["FilterXPath"]
    task_scheduler_operational_log["TaskScheduler/Operationalログ"]
    toxml_eventdata["ToXml()のイベントデータ(EventData)"]
    locale_dependent_message["表示言語に依存するメッセージ表示"]
    security_eventlog["セキュリティログ(Securityログ)"]
    admin_rights["管理者権限"]
    event_log_readers_group["Event Log Readersグループ"]
    wevtutil["wevtutil"]
    invoke_command["Invoke-Command"]
    multi_server_log_collection["複数台のイベントログ収集"]
    windows_event_forwarding["Windowsイベント転送(WEF)"]
    eventlog_retention["イベントログの保持期間(ログサイズ)"]
    get_winevent -->|"の後継"| get_eventlog
    where_object -->|"原因になり得る"| slow_eventlog_query
    filter_hashtable -->|"防止する"| slow_eventlog_query
    filter_xpath -->|"防止する"| slow_eventlog_query
    get_winevent -->|"利用する"| filter_hashtable
    get_winevent -->|"利用する"| filter_xpath
    filter_xpath -->|"推奨される対応"| task_scheduler_operational_log
    get_winevent -->|"利用する"| toxml_eventdata
    toxml_eventdata -->|"軽減する"| locale_dependent_message
    security_eventlog -.->|"前提とする"| admin_rights
    event_log_readers_group -->|"推奨される対応"| security_eventlog
    get_winevent -.->|"利用する"| security_eventlog
    security_eventlog -->|"で構成できる"| wevtutil
    invoke_command -.->|"推奨される対応"| multi_server_log_collection
    windows_event_forwarding -->|"推奨される対応"| multi_server_log_collection
    multi_server_log_collection -.->|"前提とする"| get_winevent
    get_winevent -.->|"利用する"| task_scheduler_operational_log
    get_eventlog -->|"用いるのは非推奨"| task_scheduler_operational_log
    get_winevent -.->|"前提とする"| eventlog_retention
    eventlog_retention -->|"で構成できる"| wevtutil

概念間の関係(全20件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• Get-WinEventはGet-EventLogの後継に当たります。Get-WinEventはクラシックログに加えアプリケーションとサービスログも読めるためGet-EventLogの後継として使われ、PowerShell 7ではGet-EventLog自体が利用できない。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Where-Objectは後段フィルタによる調査の遅延の原因になることがあります。Get-WinEventの出力をパイプ後段でWhere-Objectで絞ると、全イベントをオブジェクト化してから捨てることになり調査が遅くなり得る。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• FilterHashtableは後段フィルタによる調査の遅延を防ぎます。FilterHashtableを使うとイベントログのAPI側で絞り込みが行われるため、後段フィルタによる遅延を避けられる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• FilterXPathは後段フィルタによる調査の遅延を防ぎます。FilterXPathも同様にサーバー側で絞り込むため、複雑な条件でも後段フィルタによる遅延を避けられる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-WinEventはFilterHashtableを利用します。Get-WinEventはLogName・ID・Level・StartTimeなど決まったキーを持つFilterHashtableパラメーターで絞り込みを指定できる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-WinEventはFilterXPathを利用します。Get-WinEventはイベントデータの中身も含めて絞り込めるFilterXPathパラメーターを持つ。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• FilterXPathはTaskScheduler/Operationalログに対する本記事の推奨です。タスク名などイベントデータ固有の項目で絞り込みたいTaskScheduler/Operationalログの調査では、記事はFilterXPathの利用を推奨している。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-WinEventはToXml()のイベントデータ(EventData)を利用します。Get-WinEventが返す各イベントはToXml()メソッドでXML化でき、EventData配下の名前付き項目を取り出せる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• ToXml()のイベントデータ(EventData)は表示言語に依存するメッセージ表示を軽減します。ToXml()のEventDataを使えば、Messageの正規表現切り出しのように表示言語で結果が変わる問題を避けられる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• セキュリティログ(Securityログ)は管理者権限を前提とします。セキュリティログの読み取りは既定の構成では管理者権限相当が必要になる(Event Log Readersグループへの追加やチャネルACLの変更で、管理者権限なしでも読み取りだけを許可できる)。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Event Log Readersグループはセキュリティログ(Securityログ)に対する本記事の推奨です。調査担当者に管理者権限を渡さずセキュリティログを読ませたい場合、記事はEvent Log Readersグループへの追加を推奨している。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-WinEventはセキュリティログ(Securityログ)を利用します。ログオン・ログオフの追跡など認証関連の調査では、Get-WinEventはセキュリティログ(Security)を対象に指定できる。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• セキュリティログ(Securityログ)はwevtutilで構成できます。セキュリティログなど個別チャネルの読み取り許可(SDDL)はwevtutil gl/slで確認・変更できる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Invoke-Commandは複数台のイベントログ収集に対する本記事の推奨です。台数が多い単発調査では、複数コンピューターに並列実行できるInvoke-Commandが推奨される。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Windowsイベント転送(WEF)は複数台のイベントログ収集に対する本記事の推奨です。恒常的にログを集約したい場合は、追加エージェント不要のWindowsイベント転送(WEF)が推奨される。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 複数台のイベントログ収集はGet-WinEventを前提とします。-ComputerNameでの直接取得・Invoke-Commandでの並列実行・.evtx採取後の解析のいずれでも、各コンピューター上でイベントを取得する部分は結局Get-WinEventが担う(Windowsイベント転送(WEF)はこの限りではなく、転送はサブスクリプションの仕組みで行われる)。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Get-WinEventはTaskScheduler/Operationalログを利用します。タスクスケジューラの実行履歴を調べる場合、それはMicrosoft-Windows-TaskScheduler/OperationalログとしてGet-WinEventでのみ読める。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Get-EventLogをTaskScheduler/Operationalログに用いることは推奨されません。Get-EventLogはクラシックログしか扱えないため、TaskScheduler/Operationalのようなアプリケーションとサービスログには使えない。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Get-WinEventはイベントログの保持期間(ログサイズ)を前提とします。調べたい時間帯のイベントがログ上書きで既に失われていればGet-WinEventでも取得できず、十分なログ保持期間が前提となる。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• イベントログの保持期間(ログサイズ)はwevtutilで構成できます。ログの最大サイズはwevtutil sl /msで変更できる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

Get-WinEvent

イベントログをフィルターして取得するPowerShellコマンドレット。FilterHashtableでの絞り込みに対応し、NTLM監査ログなど大量のイベントの集計に使う。

FilterHashtable

Get-WinEventでログ名・ID・レベル・期間などをキーと値のハッシュテーブルで指定し、イベントログのAPI側で絞り込みを行わせるパラメーター。

Where-Object

パイプラインを流れるオブジェクトを条件式で絞り込むコマンドレット。

FilterXPath

Get-WinEventでXPath式を指定し、共通項目だけでなくイベントデータ固有の項目でもサーバー側で絞り込みを行わせるパラメーター。

ToXml()のイベントデータ(EventData)

各イベントのToXml()メソッドで取得できるXML表現のうち、EventData配下にある名前付きの項目。表示用メッセージと異なりOSの表示言語に依存せず値を取り出せる。

セキュリティログ(Securityログ)

ログオン成功・失敗など認証関連の監査イベントが記録されるWindowsのイベントログ。読み取りには既定で管理者権限相当が必要。

Event Log Readersグループ

管理者権限を与えずにローカルコンピューターのイベントログを読み取れるようにする、Windowsのビルトインセキュリティグループ(SID S-1-5-32-573)。

Invoke-Command

指定した複数のコンピューターに対してスクリプトブロックを並列に実行するPowerShellコマンドレット。WinRMによるリモート処理を前提とする。

Windowsイベント転送(WEF)

追加のエージェント導入なしに、複数のWindowsコンピューターのイベントを1台の収集サーバーへ転送するWindows標準の機能。

複数台のイベントログ収集

複数のWindowsコンピューターのイベントログをまとめて調べる、または収集サーバーへ集約する作業。

Get-EventLog

Windows PowerShell 5.1専用で、System・Application・Securityなどクラシックログだけを読み取れる旧世代のイベントログ取得コマンドレット。

イベントログの保持期間(ログサイズ)

イベントログが上書きされずに保持される期間。既定の最大サイズは小さく、イベント数が多い環境では数日で一巡することがある。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。