всё-таки это больше задача для WSH, пример на VBS:
Код:
Set WMI = GetObject("winmgmts:{impersonationLevel=Impersonate,(Security)}!\\.\root\cimv2")
Set EVT = WMI.ExecNotificationQuery("SELECT * FROM __InstanceCreationEvent" &_
" WHERE TargetInstance ISA ""Win32_NTLogEvent"" AND TargetInstance.EventCode=7001" &_
" GROUP WITHIN 60 BY TargetInstance.EventCode")
While vbTrue
Set obj = EVT.NextEvent
WScript.Echo "Номер события (7001) появился в журнале событий "& obj.NumberOfEvents & " раз."
WEnd