EVT ファイル形式とは？
.evt は、1993 年の Windows NT 3.1 で導入され、Windows XP および Windows Server 2003 まで使用されていたレガシーな Windows イベント ログ形式です。システム、アプリケーション、セキュリティの 3 つの組み込みログ チャネルが、%SystemRoot%\System32\config\ に保存された .evt ファイルにレコードを記録していました。
すべてのファイルは、4 バイトのシグネチャ LfLe (16 進数 4C 66 4C 65) によって識別される 48 バイトのヘッダーで始まります。可変長の各 EVENTLOGRECORD エントリは、リトルエンディアン形式の同じバイト (0x654C664C) で始まり、レコード自体の総長さのコピーで終わるため、双方向のトラバーサルが可能です。レコード内のテキスト文字列は UTF-16 LE でエンコードされています。未使用のバッファ領域は、センチネル値 0x00000027 で埋められます。
ログは循環バッファとして動作します。設定された最大サイズ (デフォルト 512 KB) に達すると、管理者のポリシーに応じて、最も古いエントリを上書きするか、記録を停止します。
Microsoft は、2007 年の Windows Vista および Server 2008 以降、.evt を XML ベースの Windows イベント ログである .evtx に置き換えました。現代の Windows イベント ビューアーは、互換モードで .evt ファイルを開くことができます。完全なバイナリ レイアウトは、Microsoft Learn の Microsoft [MS-EVEN] プロトコル仕様に記載されています。
セキュリティと安全性
リスク： LOWEVT ファイルにはログ データが含まれており、実行可能コンテンツは含まれていません。ただし、イベント文字列には攻撃者が制御するデータが含まれる可能性があります (例: ログ ポイズニング経由で注入)。アナリストは解析時にコンテンツ文字列を信頼できない入力として扱う必要があります。フォレンジックにおいて、ログの改ざん (EVT ファイルの消去や切り詰め) 自体が侵害の指標となります。セキュリティ ログのイベント ID 517/1102 (監査ログの消去) を確認してください。
形式の詳細
概要EVT ファイルを開くプログラム
Windows4 apps
Microsoft Log Parser 2.2
無料 コマンドを使用: LogParser.exe "SELECT * FROM file.evt" -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
無料 EVTXECmd.exe -f file.evt --csv output\ - 分析用に CSV/JSON へエクスポートします。 
Linux1 app
技術的詳細
詳細仕様| ファイルタイプ | バイナリ構造化イベント ログ (レガシー Windows) |
| 開発者 | Microsoft Corporation |
| エンコーディング | バイナリ、リトルエンディアン |
| 文字列エンコーディング | UTF-16 LE (イベント メッセージ文字列) |
| ファイル ヘッダー シグネチャ | オフセット 0 に LfLe (16 進数 4C 66 4C 65)、ヘッダーは 48 バイト |
| レコード シグネチャ | 各 EVENTLOGRECORD の開始位置に 0x654C664C (eLfL) |
| レコード構造 | 可変長 EVENTLOGRECORD。双方向トラバーサルのため末尾に総長さが繰り返される |
| バッファ モデル | 循環型 - 最大サイズに達すると最も古いエントリを上書き、または停止 (ポリシー設定可能) |
| デフォルト最大ファイルサイズ | 512 KB (管理者設定可能) |
| 未使用領域のパディング | 0x00000027 センチネル値 |
| ログ チャネル | システム、アプリケーション、セキュリティ (3 つの組み込みログ) |
| サポート OS | Windows NT 3.1 から Windows XP および Windows Server 2003 まで |
| 後継形式 | .evtx (Windows XML イベント ログ)、Windows Vista / Server 2008 (2007 年) で導入 |
| 形式ドキュメント | [MS-EVEN] プロトコル仕様 (Microsoft Learn) |
| 現代の互換性 | Windows イベント ビューアーは、Vista 以降で .evt ファイルを互換モードで開くことが可能 |
| リリース日 | 1993 (Windows NT 3.1) |
| 最新バージョン | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| 仕様書 | learn.microsoft.com |
EVT の変換
コミュニティ Q&A
ユーザーからの質問まだ質問はありません。EVT ファイルについて最初の質問をしてみましょう。
よくある質問
EVT ファイルとは何ですか？
Windows 10/11 で EVT ファイルを開くにはどうすればよいですか？
EVT と EVTX の違いは何ですか？
EVT を CSV に変換できますか？
LogParser -i:EVT -o:CSV "SELECT * FROM file.evt" と実行するか、Eric Zimmermann 氏のツールキットの EVTXECmd を使用してください。Windows XP では EVT ファイルはどこに保存されていますか？
%SystemRoot%\System32\config\ 内にあり、通常は System.evt、Application.evt、Security.evt という名前です。
