Hva er EVT-filformatet?
.evt er det eldre Windows Event Log-formatet som ble introdusert med Windows NT 3.1 i 1993 og brukt frem til Windows XP og Windows Server 2003. Tre innebygde loggkanaler - System, Application og Security - lagret oppføringer i .evt-filer under %SystemRoot%\System32\config\.
Hver fil starter med en 48-byte header identifisert av den fire-byte signaturen LfLe (hex 4C 66 4C 65). Hver EVENTLOGRECORD-oppføring med variabel lengde åpner med de samme bytene i little-endian-form (0x654C664C) og avsluttes med en gjentatt kopi av postens egen totallengde, noe som muliggjør toveis gjennomgang. Tekststrenger i postene er kodet som UTF-16 LE. Ubrukt bufferplass er fylt med vaktverdien (sentinel) 0x00000027.
Loggen fungerer som en sirkulær buffer: når den konfigurerbare maksimale størrelsen er nådd (standard 512 KB), vil filen enten overskrive de eldste oppføringene eller slutte å registrere, avhengig av administratorens policy.
Microsoft erstattet .evt med .evtx - den XML-baserte Windows Event Log - fra og med Windows Vista og Server 2008 i 2007. Moderne Windows Event Viewer kan åpne .evt-filer i kompatibilitetsmodus. Den fullstendige binære layouten er dokumentert i Microsofts [MS-EVEN]-protokollspesifikasjon på Microsoft Learn.
Sikkerhet og trygghet
RISIKO: LOWEVT-filer inneholder loggdata, ikke eksekverbart innhold. Imidlertid kan hendelsesstrenger inneholde data kontrollert av angripere (f.eks. injisert via loggforgiftning); analytikere bør behandle innholdsstrenger som upålitelig inndata ved parsing. I etterforskning er manipulering av logger (sletting eller avkorting av EVT-filer) i seg selv en indikator på kompromittering - sjekk Security-loggen for Event ID 517/1102 (revisjonslogg slettet).
Formatdetaljer
i et nøtteskallProgrammer som åpner EVT-filer
Windows4 apps
Windows Event Viewer
Innebygd Åpne eventvwr.msc, deretter Action > Open Saved Log, naviger til .evt-filen.
Microsoft Log Parser 2.2
Gratis Bruk kommando: LogParser.exe «SELECT * FROM file.evt» -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Gratis EVTXECmd.exe -f file.evt --csv output\ - eksporterer til CSV/JSON for analyse.
LibEVT (libyal)
Åpen kildekode Kommandolinjebibliotek for parsing av EVT-filer på Windows/Linux/macOS. 
Linux1 app
LibEVT (libyal)
Åpen kildekode Kommandolinjebibliotek for parsing av EVT-filer på Windows/Linux/macOS. Tekniske detaljer
dyp spesifikasjon| Filtype | Binær strukturert hendelseslogg (legacy Windows) |
| Utvikler | Microsoft Corporation |
| Koding | Binær, little-endian |
| Strengkoding | UTF-16 LE (hendelsesmeldingsstrenger) |
| Fil-header signatur | LfLe (hex 4C 66 4C 65) ved offset 0; header er 48 byte |
| Post-signatur | 0x654C664C (eLfL) ved starten av hver EVENTLOGRECORD |
| Post-struktur | EVENTLOGRECORD med variabel lengde; totallengde gjentas på slutten for toveis gjennomgang |
| Buffermodell | Sirkulær - overskriver eldste oppføringer eller stopper når maksimal størrelse er nådd (konfigurerbart via policy) |
| Standard maksimal filstørrelse | 512 KB (konfigurerbart av administrator) |
| Fylling av ubrukt plass | 0x00000027 vaktverdi (sentinel) |
| Loggkanaler | System, Application, Security (tre innebygde logger) |
| Støttet OS | Windows NT 3.1 til og med Windows XP og Windows Server 2003 |
| Erstattet av | .evtx (Windows XML Event Log), introdusert i Windows Vista / Server 2008 (2007) |
| Formatdokumentasjon | [MS-EVEN]-protokollspesifikasjon (Microsoft Learn) |
| Moderne kompatibilitet | Windows Event Viewer åpner .evt-filer i kompatibilitetsmodus på Vista og nyere |
| Utgitt | 1993 (Windows NT 3.1) |
| Siste versjon | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Spesifikasjon | learn.microsoft.com |
EVT-konverteringer
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om EVT-filer.
