Was ist das EVT-Dateiformat?
.evt ist das veraltete Windows-Ereignisprotokollformat, das 1993 mit Windows NT 3.1 eingeführt und bis Windows XP und Windows Server 2003 genutzt wurde. Drei integrierte Protokollkanäle - System, Anwendung und Sicherheit - speicherten Datensätze in .evt-Dateien unter %SystemRoot%\System32\config\.
Jede Datei beginnt mit einem 48-Byte-Header, der durch die Vier-Byte-Signatur LfLe (Hex 4C 66 4C 65) identifiziert wird. Jeder EVENTLOGRECORD-Eintrag mit variabler Länge beginnt mit denselben Bytes in Little-Endian-Form (0x654C664C) und endet mit einer Kopie der Gesamtlänge des Datensatzes, was ein bidirektionales Durchlaufen ermöglicht. Textzeichenfolgen innerhalb der Datensätze sind als UTF-16 LE kodiert. Ungenutzter Pufferraum wird mit dem Sentinel-Wert 0x00000027 aufgefüllt.
Das Protokoll arbeitet als Ringpuffer: Wenn die konfigurierbare maximale Größe erreicht ist (Standard 512 KB), überschreibt die Datei entweder die ältesten Einträge oder stoppt die Aufzeichnung, abhängig von der Administratorrichtlinie.
Microsoft ersetzte .evt ab Windows Vista und Server 2008 im Jahr 2007 durch .evtx - das XML-basierte Windows-Ereignisprotokoll. Die moderne Windows-Ereignisanzeige kann .evt-Dateien im Kompatibilitätsmodus öffnen. Das vollständige binäre Layout ist in der [MS-EVEN]-Protokollspezifikation auf Microsoft Learn dokumentiert.
Sicherheit
RISIKO: LOWEVT-Dateien enthalten Protokolldaten, keine ausführbaren Inhalte. Ereignis-Strings können jedoch vom Angreifer kontrollierte Daten enthalten (z. B. injiziert über Log-Poisoning); Analysten sollten Inhalts-Strings beim Parsen als nicht vertrauenswürdige Eingabe behandeln. In der Forensik ist die Manipulation von Protokollen (Löschen oder Kürzen von EVT-Dateien) selbst ein Indikator für eine Kompromittierung - prüfen Sie das Sicherheitsprotokoll auf Ereignis-ID 517/1102 (Audit-Log gelöscht).
Formatdetails
kurz gefasstProgramme zum Öffnen von EVT-Dateien
Windows4 apps
Windows Event Viewer
Integriert Öffnen Sie eventvwr.msc, dann „Aktion“ > „Gespeichertes Protokoll öffnen“ und navigieren Sie zur .evt-Datei.
Microsoft Log Parser 2.2
Kostenlos Befehl verwenden: LogParser.exe „SELECT * FROM file.evt“ -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Kostenlos EVTXECmd.exe -f file.evt --csv output\ - exportiert zur Analyse nach CSV/JSON.
LibEVT (libyal)
Open Source Kommandozeilen-Bibliothek zum Parsen von EVT-Dateien unter Windows/Linux/macOS. 
Linux1 app
LibEVT (libyal)
Open Source Kommandozeilen-Bibliothek zum Parsen von EVT-Dateien unter Windows/Linux/macOS. Technische Details
technische Spezifikation| Dateityp | Binär strukturiertes Ereignisprotokoll (Legacy Windows) |
| Entwickler | Microsoft Corporation |
| Kodierung | Binär, Little-Endian |
| Zeichenkodierung | UTF-16 LE (Ereignismeldungs-Strings) |
| Datei-Header-Signatur | LfLe (Hex 4C 66 4C 65) bei Offset 0; Header ist 48 Bytes groß |
| Datensatz-Signatur | 0x654C664C (eLfL) am Anfang jedes EVENTLOGRECORD |
| Datensatzstruktur | EVENTLOGRECORD mit variabler Länge; Gesamtlänge am Ende wiederholt für bidirektionales Durchlaufen |
| Puffermodell | Ringpuffer - überschreibt älteste Einträge oder stoppt, wenn die maximale Größe erreicht ist (per Richtlinie konfigurierbar) |
| Standardmäßige maximale Dateigröße | 512 KB (durch Administrator konfigurierbar) |
| Auffüllung ungenutzten Speichers | 0x00000027 Sentinel-Wert |
| Protokollkanäle | System, Anwendung, Sicherheit (drei integrierte Protokolle) |
| Unterstützte Betriebssysteme | Windows NT 3.1 bis Windows XP und Windows Server 2003 |
| Abgelöst durch | .evtx (Windows XML Event Log), eingeführt in Windows Vista / Server 2008 (2007) |
| Format-Dokumentation | [MS-EVEN]-Protokollspezifikation (Microsoft Learn) |
| Moderne Kompatibilität | Die Windows-Ereignisanzeige öffnet .evt-Dateien im Kompatibilitätsmodus ab Vista |
| Veröffentlicht | 1993 (Windows NT 3.1) |
| Neueste Version | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Spezifikation | learn.microsoft.com |
EVT-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu EVT-Dateien.
