Che cos'è il formato di file EVTX?
.evtx è un file di sistema utilizzato dal Visualizzatore eventi di Windows per memorizzare il registro eventi di Windows. Il formato ha sostituito i vecchi log binari .evt quando Microsoft lo ha introdotto con Windows Vista e Windows Server 2008. Entrambi i formati sono ancora riconosciuti sui moderni sistemi Windows. Il Visualizzatore eventi - e strumenti come Get-WinEvent di PowerShell - possono aprire direttamente i file .evtx; essi rappresentano anche i log live nativi scritti continuamente dal sistema operativo in %SystemRoot%\System32\winevt\Logs.
Windows registra tutti gli eventi relativi a una determinata macchina e alle applicazioni che vi vengono eseguite. Gli eventi sono suddivisi in diversi file di registro dedicati, i quattro principali sono:
- Registro Applicazione - registra informazioni relative alle applicazioni in esecuzione,
- Registro Sicurezza - registra tutti gli eventi relativi alla sicurezza del sistema (ad esempio i tentativi di accesso degli utenti),
- Registro Installazione - registra eventi relativi alle installazioni di sistema come gli aggiornamenti,
- Registro Sistema - contiene varie informazioni sul sistema Windows.
Tutti i registri, eccetto quello di Sicurezza, raggruppano ulteriormente le voci in tre tipi:
- Informazioni
- Avviso
- Errore
A ogni voce viene assegnato un ID evento univoco, un timestamp, il nome della sorgente che ha generato l'evento e una breve descrizione. Tale descrizione potrebbe non essere visualizzata correttamente se l'applicazione sorgente non è installata sulla macchina in cui viene letto il log. Gli amministratori di sistema a volte chiedono agli utenti di inviare un file .evtx per la risoluzione dei problemi; può essere aperto nel Visualizzatore eventi o analizzato con strumenti da riga di comando come EvtxECmd o Get-WinEvent.
Internamente, .evtx memorizza i record come XML binario (BinXML) impacchettato in blocchi da 64 KiB, rendendolo molto più efficiente e strutturato rispetto al suo predecessore. Ogni blocco e l'intestazione del file sono protetti da un checksum CRC-32, consentendo il rilevamento di manomissioni e corruzioni. Il formato .evtx è ampiamente utilizzato nella digital forensics e nella risposta agli incidenti su Windows.
Sicurezza e incolumità
RISCHIO: LOWI file EVTX sono log di dati inerti: non sono eseguibili e non contengono macro, quindi aprirne uno nel Visualizzatore eventi o in un parser è sicuro. La prospettiva della sicurezza è l'opposto: i file EVTX SONO le prove. Gli aggressori cancellano o manomettono i log (l'ID evento Security 1102 registra la cancellazione di un log), quindi nella risposta agli incidenti la preoccupazione riguarda i log mancanti o alterati, non quelli dannosi. Una cautela pratica: i record EVTX possono contenere stringhe controllate dall'aggressore (righe di comando, percorsi), quindi quando si analizzano log non attendibili, usare strumenti che non eseguono contenuti incorporati e prestare attenzione nel copiare campi grezzi nelle shell. I log possono anche contenere dati sensibili (nomi utente, nomi host, IP): gestire i file .evtx esportati di conseguenza.
Dettagli del formato
in sintesiProgrammi che aprono file EVTX
Windows4 apps
Event Viewer
Integrato Esegui eventvwr.msc, quindi Azione > Apri registro salvato e seleziona il file .evtx. È il visualizzatore nativo completo con i pannelli Generale/Dettagli (XML) e filtri.
EvtxECmd (Eric Zimmerman)
Gratuito Parser da riga di comando per forensics: «EvtxECmd.exe -f log.evtx --csv out» esporta i record in CSV/JSON per l'analisi in Timeline Explorer o Excel.
PowerShell (Get-WinEvent)
Integrato Get-WinEvent -Path log.evtx invia gli eventi a filtri o esportazioni; ad esempio aggiungendo | Export-Csv out.csv. Scriptabile, non richiede installazione extra.
Chainsaw
Open-source Ricerca rapida in EVTX con regole Sigma per il rilevamento delle minacce: «chainsaw hunt log.evtx -s sigma/». Per uso DFIR/blue-team. 
macOS1 app
python-evtx
Open-source pip install python-evtx, quindi «evtx_dump.py log.evtx» converte i record in XML leggibile su macOS/Linux senza Windows. 
Linux2 apps
evtx (Rust evtx_dump)
Open-source Parser multipiattaforma veloce: «evtx_dump log.evtx» produce output XML/JSON. Installabile tramite cargo o pip (il binding python «evtx»).
python-evtx
Open-source pip install python-evtx, quindi «evtx_dump.py log.evtx» converte i record in XML leggibile su macOS/Linux senza Windows. Dettagli tecnici
specifiche approfondite| Firma del file | `ElfFile\0` (hex `45 6C 66 46 69 6C 65 00`) all'offset byte 0 |
| Firma del blocco | `ElfChnk\0` all'inizio di ogni blocco di dati da 64 KiB; ogni record di evento inizia con il marcatore `2A 2A 00 00` |
| Codifica interna | XML binario (BinXML) - eventi memorizzati come XML codificato in binario utilizzando tabelle di stringhe e modelli per blocco, evitando il sovraccarico dell'XML in testo semplice |
| Dimensione del blocco | 64 KiB (65.536 byte) per blocco; l'intestazione del file occupa i primi 4.096 byte |
| Ordine dei byte | Little-endian in tutto il file |
| Tipo MIME | `application/octet-stream` |
| Meccanismo di integrità | Checksum CRC-32 sull'intestazione del file, su ogni intestazione di blocco e su ogni record di evento - consente il rilevamento di manomissioni e corruzioni |
| Posizione predefinita dei log | `%SystemRoot%\System32\winevt\Logs\` - un file `.evtx` per ogni canale di log (es. `Application.evtx`, `Security.evtx`, `System.evtx`) |
| Formato precedente | `.evt` (registro eventi binario di Windows 2000/XP/2003, sostituito a partire da Windows Vista) |
| Versione del formato | L'intestazione contiene campi per la versione major/minor (comunemente 3.1 o 3.2); formato stabile da Windows Vista |
| Dimensione massima predefinita del log | Configurabile per canale; i valori predefiniti tipici variano da 1 MB a 20 MB; i log si sovrascrivono o vengono archiviati al raggiungimento del limite |
| Sistemi operativi supportati | Windows Vista, 7, 8, 10, 11 e Windows Server 2008 e successivi; leggibile anche su Linux e macOS tramite parser open source |
| Compressione | Nessuna - i record BinXML sono memorizzati non compressi; il risparmio di spazio deriva dalla codifica binaria piuttosto che dalla compressione |
| Tabelle dei record per blocco | Ogni blocco da 64 KiB contiene la propria tabella di stringhe e tabella di modelli per la decodifica autonoma dei record all'interno di quel blocco |
| Rilasciato | 2006-2007 (Windows Vista / Windows Server 2008, replacing the .evt format) |
| Ultima versione | EVTX (current in Windows 11 / Server 2025; format stable since Vista) |
| Specifica | learn.microsoft.com |
Conversioni EVTX
Domande e risposte della community
chiesto dagli utentiAncora nessuna domanda - sii il primo a chiedere informazioni sui file EVTX.
