首先將windows安全日志導出，步驟如下：
運行eventvwr.msc命令，打開windows日志，如下圖，將所有事件另存為：
保存完之后是一個.evtx格式的文件，將使用log parser分析這個導出的日志：
分析命令如下：
LogParser.exe -i:EVT "SELECT TimeGenerated,EXTRACT_TOKEN(Strings,0,'|') AS USERNAME,EXTRACT_TOKEN(Strings,2,'|') AS SERVICE\_NAME,EXTRACT_TOKEN(Strings,5,'|') AS Client_IP FROM 'C:\Users\huowu\Desktop\111.evtx' WHERE EventID=4798"