【bat】Windowsイベントログから特定のエラーを検出して自動通知する方法｜wevtutil・XPathクエリ・タスクスケジューラ連携まで完全解説

wevtutil qe <ログ名> /q:"<XPathクエリ>" /f:text /c:<件数>

wevtutil qe System /q:"*[System[(EventID=7036)]]" /f:text /c:1 /rd:true

@echo off
setlocal

set "EVENT_ID=7036"
set "LOG_NAME=System"
set "TMPFILE=%~dp0tmp_event.txt"
set "LOGFILE=%~dp0event_alert.log"

:: 最新1件を一時ファイルに出力
wevtutil qe %LOG_NAME% /q:"*[System[(EventID=%EVENT_ID%)]]" /f:text /c:1 /rd:true > "%TMPFILE%" 2>&1

:: 取得できたか（ファイルが空でないか）確認
for %%F in ("%TMPFILE%") do (
    if %%~zF == 0 (
        echo [%DATE% %TIME%] EventID %EVENT_ID% は検出されませんでした。 >> "%LOGFILE%"
        del "%TMPFILE%"
        exit /b 0
    )
)

:: 検出された場合
echo [%DATE% %TIME%] EventID %EVENT_ID% を検出しました。 >> "%LOGFILE%"
type "%TMPFILE%" >> "%LOGFILE%"
echo ---------------------------------------- >> "%LOGFILE%"

del "%TMPFILE%"
endlocal

@echo off
setlocal

set "LOG_NAME=System"
set "TMPFILE=%~dp0tmp_event.txt"
set "LOGFILE=%~dp0event_alert.log"

:: EventID 7036（サービス停止）または 41（予期しないシャットダウン）を検出
set "QUERY=*[System[(EventID=7036 or EventID=41)]]"

wevtutil qe %LOG_NAME% /q:"%QUERY%" /f:text /c:5 /rd:true > "%TMPFILE%" 2>&1

for %%F in ("%TMPFILE%") do (
    if %%~zF == 0 (
        echo [%DATE% %TIME%] 対象イベントなし >> "%LOGFILE%"
        del "%TMPFILE%"
        exit /b 0
    )
)

echo [%DATE% %TIME%] 異常イベントを検出しました。 >> "%LOGFILE%"
type "%TMPFILE%" >> "%LOGFILE%"
echo ======================================== >> "%LOGFILE%"

del "%TMPFILE%"
endlocal

@echo off
setlocal

:: Level=1:Critical, Level=2:Error, Level=3:Warning
:: Level<=2 でCriticalとErrorの両方を対象にする
set "QUERY=*[System[(Level=1 or Level=2)]]"
set "LOG_NAME=System"
set "TMPFILE=%~dp0tmp_event.txt"
set "LOGFILE=%~dp0event_alert.log"

wevtutil qe %LOG_NAME% /q:"%QUERY%" /f:text /c:10 /rd:true > "%TMPFILE%" 2>&1

for %%F in ("%TMPFILE%") do (
    if %%~zF == 0 (
        echo [%DATE% %TIME%] エラーなし >> "%LOGFILE%"
        del "%TMPFILE%"
        exit /b 0
    )
)

echo [%DATE% %TIME%] エラー/クリティカルイベントを検出しました。 >> "%LOGFILE%"
type "%TMPFILE%" >> "%LOGFILE%"
del "%TMPFILE%"
endlocal

@echo off
setlocal

:: 現在時刻から過去1時間分のミリ秒（1時間 = 3600000ms）
set "MILLISECONDS=3600000"
set "LOG_NAME=System"
set "TMPFILE=%~dp0tmp_event.txt"
set "LOGFILE=%~dp0event_alert.log"

:: TimeCreated[@SystemTime >= now - N ms] を利用
set "QUERY=*[System[(Level=1 or Level=2) and TimeCreated[timediff(@SystemTime) <= %MILLISECONDS%]]]"

wevtutil qe %LOG_NAME% /q:"%QUERY%" /f:text /c:50 /rd:true > "%TMPFILE%" 2>&1

for %%F in ("%TMPFILE%") do (
    if %%~zF == 0 (
        echo [%DATE% %TIME%] 過去1時間のエラーなし >> "%LOGFILE%"
        del "%TMPFILE%"
        exit /b 0
    )
)

echo [%DATE% %TIME%] 過去1時間にエラーを検出しました。 >> "%LOGFILE%"
type "%TMPFILE%" >> "%LOGFILE%"
echo ======================================== >> "%LOGFILE%"

del "%TMPFILE%"
endlocal

:: ログオン中のユーザーにポップアップを送る
msg * /time:30 "イベントログでエラーを検出しました。詳細は event_alert.log を確認してください。"

:: 管理者権限が必要
eventcreate /t ERROR /id 200 /l APPLICATION /d "エラーを検出: EventID 7036 が System ログに記録されました"

param($message)

$smtpServer = "smtp.example.com"
$from = "monitor@example.com"
$to = "admin@example.com"
$subject = "[警告] Windowsイベントログでエラーを検出"

Send-MailMessage -SmtpServer $smtpServer `
    -From $from `
    -To $to `
    -Subject $subject `
    -Body $message `
    -Encoding UTF8

:: バッチ内からPowerShellを呼び出して通知
powershell -ExecutionPolicy Bypass -File "%~dp0notify_mail.ps1" -message "EventID 7036 を検出しました。"

@echo off
:: check_event.bat を1時間ごとに実行するタスクを登録
schtasks /create ^
    /tn "EventLogMonitor" ^
    /tr "\"C:\tasks\check_event.bat\"" ^
    /sc hourly ^
    /mo 1 ^
    /ru SYSTEM ^
    /rl HIGHEST ^
    /f

echo タスクを登録しました。

@echo off
setlocal

:: ===== 設定 =====
set "LOG_NAME=System"
set "MILLISECONDS=3600000"
set "TMPFILE=%~dp0tmp_event.txt"
set "LOGFILE=%~dp0event_monitor.log"
set "PSNOTIFY=%~dp0notify_mail.ps1"
set "QUERY=*[System[(Level=1 or Level=2) and TimeCreated[timediff(@SystemTime) <= %MILLISECONDS%]]]"

echo ==== 監視開始 %DATE% %TIME% ==== >> "%LOGFILE%"

:: ===== イベント取得 =====
wevtutil qe %LOG_NAME% /q:"%QUERY%" /f:text /c:50 /rd:true > "%TMPFILE%" 2>&1

:: ===== 検出チェック =====
for %%F in ("%TMPFILE%") do (
    if %%~zF == 0 (
        echo [INFO] 過去1時間のエラーなし。 >> "%LOGFILE%"
        del "%TMPFILE%"
        echo ==== 監視終了 %DATE% %TIME% ==== >> "%LOGFILE%"
        exit /b 0
    )
)

:: ===== エラー検出時の処理 =====
echo [ALERT] 過去1時間にエラーを検出しました。 >> "%LOGFILE%"
type "%TMPFILE%" >> "%LOGFILE%"
echo ======================================== >> "%LOGFILE%"

:: PowerShellでメール通知（スクリプトがある場合のみ）
if exist "%PSNOTIFY%" (
    powershell -ExecutionPolicy Bypass -File "%PSNOTIFY%" -message "Systemログでエラーを検出。%LOGFILE% を確認してください。"
)

:: カスタムイベントログにも記録
eventcreate /t ERROR /id 200 /l APPLICATION /d "event_monitor: Systemログのエラーを検出" >nul 2>&1

del "%TMPFILE%"
echo ==== 監視終了 %DATE% %TIME% ==== >> "%LOGFILE%"
endlocal