这些是针对 Microsoft-Windows-PowerShell/Operational 和 Windows PowerShell 日志的模块的特定事件字段。
-
powershell.id -
Shell ID。
类型: keyword
示例: Microsoft Powershell
-
powershell.pipeline_id -
管道 ID。
类型: keyword
示例: 1
-
powershell.runspace_id -
Runspace ID。
类型: keyword
示例: 4fa9074d-45ab-4e53-9195-e91981ac2bbb
-
powershell.sequence -
PowerShell 执行的序列号。
类型: long
示例: 1
-
powershell.total -
序列中的消息总数。
类型: long
示例: 10
powershell.command
与执行的命令相关的数据。
-
powershell.command.path -
执行的命令的路径。
类型: keyword
示例: C:\Windows\system32\cmd.exe
-
powershell.command.name -
执行的命令的名称。
类型: keyword
示例: cmd.exe
-
powershell.command.type -
执行的命令的类型。
类型: keyword
示例: Application
-
powershell.command.value -
调用的命令。
类型: text
示例: Import-LocalizedData LocalizedData -filename ArchiveResources
-
powershell.command.invocation_details -
包含执行的命令的详细信息的数组。
类型: array
-
powershell.command.invocation_details.type -
详细信息的类型。
类型: keyword
示例: CommandInvocation
-
powershell.command.invocation_details.related_command -
与该详细信息相关的命令。
类型: keyword
示例: Add-Type
-
powershell.command.invocation_details.name -
仅用于 ParameterBinding 详细信息类型。指示参数名称。
类型: keyword
示例: AssemblyName
-
powershell.command.invocation_details.value -
详细信息的值。它的含义将取决于详细信息类型。
类型: text
示例: System.IO.Compression.FileSystem
powershell.connected_user
与执行命令的连接的用户相关的数据。
-
powershell.connected_user.domain -
用户域。
类型: keyword
示例: VAGRANT
-
powershell.connected_user.name -
用户名。
类型: keyword
示例: vagrant
powershell.engine
与 PowerShell 引擎相关的数据。
-
powershell.engine.version -
用于执行命令的 PowerShell 引擎版本的版本。
类型: keyword
示例: 5.1.17763.1007
-
powershell.engine.previous_state -
PowerShell 引擎的先前状态。
类型: keyword
示例: Available
-
powershell.engine.new_state -
PowerShell 引擎的新状态。
类型: keyword
示例: Stopped
powershell.file
与执行的脚本文件相关的数据。
-
powershell.file.script_block_id -
执行的脚本块的 ID。
类型: keyword
示例: 50d2dbda-7361-4926-a94d-d9eadfdb43fa
-
powershell.file.script_block_text -
执行的脚本块的文本。
类型: text
示例: .\a_script.ps1
-
powershell.process.executable_version -
托管进程可执行文件的引擎版本。
类型: keyword
示例: 5.1.17763.1007
powershell.provider
与 PowerShell 引擎主机相关的数据。
-
powershell.provider.new_state -
PowerShell 提供程序的新状态。
类型: keyword
示例: Active
-
powershell.provider.name -
提供程序名称。
类型: keyword
示例: Variable