EVTX ファイル

.evtx は、Windows イベント ビューアーが Windows イベント ログを保存するために使用するシステム ファイルです。この形式は、Microsoft が Windows Vista および Windows Server 2008 で導入した際に、古い .evt バイナリ ログを置き換えました。現代の Windows システムでも両方の形式が認識されます。イベント ビューアーや PowerShell の Get-WinEvent などのツールは .evtx ファイルを直接開くことができます。また、これらは OS によって %SystemRoot%\System32\winevt\Logs に継続的に書き込まれるネイティブなライブ ログでもあります。

Windows は、特定のマシンとその上で実行されるアプリケーションに関連するすべてのイベントをログに記録します。イベントはいくつかの専用ジャーナル ファイルに分割されており、主な 4 つは以下の通りです：

• アプリケーション ジャーナル - 実行中のアプリケーションに関連する情報を記録します。
• セキュリティ ジャーナル - システム セキュリティに関連するすべてのイベント（ユーザーのログイン試行など）を記録します。
• Setup ジャーナル - 更新プログラムなどのシステム インストールに関連するイベントを記録します。
• システム ジャーナル - Windows システムに関するさまざまな情報が含まれています。

セキュリティ ジャーナル以外のすべてのジャーナルは、エントリをさらに 3 つのタイプに分類します：

• 情報
• 警告
• エラー

各エントリには、一意のイベント ID、タイムスタンプ、イベントを発生させたソースの名前、および短い説明が割り当てられます。ログを読み取っているマシンにソース アプリケーションがインストールされていない場合、その説明が正しく表示されないことがあります。システム管理者はトラブルシューティングのためにユーザーに .evtx ファイルの送信を依頼することがあります。これはイベント ビューアーで開くか、EvtxECmd や Get-WinEvent などのコマンドライン ツールで解析できます。

内部的には、.evtx はレコードを バイナリ XML (BinXML) として 64 KiB のチャンクにパックして保存するため、以前の形式よりもはるかに効率的で構造化されています。各チャンクとファイル ヘッダーは CRC-32 チェックサムによって保護されており、改ざんや破損の検出が可能です。.evtx 形式は、Windows のフォレンジックやインシデント レスポンスで広く使用されています。