Che cos'è il formato di file EVT?
.evt è il formato legacy del registro eventi di Windows introdotto con Windows NT 3.1 nel 1993 e utilizzato fino a Windows XP e Windows Server 2003. Tre canali di registro integrati - System, Application e Security - memorizzavano i record in file .evt conservati in %SystemRoot%\System32\config\.
Ogni file inizia con un'intestazione di 48 byte identificata dalla firma a quattro byte LfLe (hex 4C 66 4C 65). Ogni voce EVENTLOGRECORD a lunghezza variabile si apre con gli stessi byte in formato little-endian (0x654C664C) e si chiude con una copia ripetuta della lunghezza totale del record stesso, consentendo l'attraversamento bidirezionale. Le stringhe di testo all'interno dei record sono codificate come UTF-16 LE. Lo spazio del buffer non utilizzato è riempito con il valore sentinella 0x00000027.
Il registro opera come un buffer circolare: quando viene raggiunta la dimensione massima configurabile (predefinita a 512 KB), il file sovrascrive le voci più vecchie o interrompe la registrazione, a seconda della policy dell'amministratore.
Microsoft ha sostituito .evt con .evtx - il registro eventi di Windows basato su XML - a partire da Windows Vista e Server 2008 nel 2007. Il moderno Visualizzatore eventi di Windows può aprire i file .evt in modalità compatibilità. Il layout binario completo è documentato nella specifica del protocollo [MS-EVEN] su Microsoft Learn.
Sicurezza e incolumità
RISCHIO: LOWI file EVT contengono dati di registro, non contenuti eseguibili. Tuttavia, le stringhe degli eventi possono contenere dati controllati da un utente malintenzionato (ad esempio, iniettati tramite log poisoning); gli analisti dovrebbero trattare le stringhe di contenuto come input non attendibile durante il parsing. In ambito forense, la manomissione dei log (cancellazione o troncamento dei file EVT) è di per sé un indicatore di compromissione - controllare il registro Security per l'ID evento 517/1102 (registro di controllo svuotato).
Dettagli del formato
in sintesiProgrammi che aprono file EVT
Windows4 apps
Windows Event Viewer
Integrato Aprire eventvwr.msc, quindi Azione > Apri registro salvato, navigare fino al file .evt.
Microsoft Log Parser 2.2
Gratuito Usare il comando: LogParser.exe «SELECT * FROM file.evt» -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Gratuito EVTXECmd.exe -f file.evt --csv output\ - esporta in CSV/JSON per l'analisi.
LibEVT (libyal)
Open-source Libreria da riga di comando per il parsing di file EVT su Windows/Linux/macOS. 
Linux1 app
LibEVT (libyal)
Open-source Libreria da riga di comando per il parsing di file EVT su Windows/Linux/macOS. Dettagli tecnici
specifiche approfondite| Tipo di file | Registro eventi strutturato binario (legacy Windows) |
| Sviluppatore | Microsoft Corporation |
| Codifica | Binaria, little-endian |
| Codifica stringhe | UTF-16 LE (stringhe dei messaggi di evento) |
| Firma intestazione file | LfLe (hex 4C 66 4C 65) all'offset 0; l'intestazione è di 48 byte |
| Firma del record | 0x654C664C (eLfL) all'inizio di ogni EVENTLOGRECORD |
| Struttura del record | EVENTLOGRECORD a lunghezza variabile; lunghezza totale ripetuta alla fine per l'attraversamento bidirezionale |
| Modello buffer | Circolare - sovrascrive le voci più vecchie o si ferma quando viene raggiunta la dimensione massima (configurabile tramite policy) |
| Dimensione massima predefinita | 512 KB (configurabile dall'amministratore) |
| Riempimento spazio inutilizzato | Valore sentinella 0x00000027 |
| Canali di registro | System, Application, Security (tre registri integrati) |
| Sistemi operativi supportati | Windows NT 3.1 fino a Windows XP e Windows Server 2003 |
| Sostituito da | .evtx (Windows XML Event Log), introdotto in Windows Vista / Server 2008 (2007) |
| Documentazione del formato | Specifica del protocollo [MS-EVEN] (Microsoft Learn) |
| Compatibilità moderna | Il Visualizzatore eventi di Windows apre i file .evt in modalità compatibilità su Vista e versioni successive |
| Rilasciato | 1993 (Windows NT 3.1) |
| Ultima versione | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Specifica | learn.microsoft.com |
Conversioni EVT
Domande e risposte della community
chiesto dagli utentiAncora nessuna domanda - sii il primo a chiedere informazioni sui file EVT.
