Использование WMI для мониторинга журнала событий

Question

Я пытаюсь использовать WMI для мониторинга журнала событий на предмет событий EntryWritten, поэтому я настроил обработчик следующим образом:

// Create the event log monitor
        string query = "Select * From __InstanceCreationEvent Where TargetInstance.LogFile='Application'";
        WqlEventQuery aProcessCreationQuery = new WqlEventQuery(query);
        ManagementEventWatcher aWatcher = new ManagementEventWatcher(aProcessCreationQuery);
        aWatcher.EventArrived += new EventArrivedEventHandler(EventLogMonitor);

Но мой метод-обработчик EventLogMonitor никогда не срабатывает, даже когда что-то записывается в журнал событий приложений. Мое приложение работает как служба мониторинга для вещей, записанных в журнал событий.

Я нашел где-то, что мне может понадобиться добавить строку:

aWatcher.Start()

в методе StartService (), но если я это сделаю, служба не запустится. Интересно, есть ли у кого-нибудь идеи по этому поводу?

Answer 1

Ваш WQL неверен Select * From __InstanceCreationEvent Where TargetInstance.LogFile='Application'

вы должны включить проверяемый класс в предложение, используя ключевое слово ISA

Примерно так

Select * From __InstanceCreationEvent WHERE TargetInstance ISA 'Win32_NTLogEvent' and TargetInstance.LogFile='Application'