Event ID 400：Engine state changed (started)（Microsoft-Windows-PowerShell/Operational）

这个 Event ID 实际在磁盘上记录的内容、优先查看的 EventData 字段，以及它在 DFIR 分诊流程中的位置。