Hva er EVTX-filformatet?
.evtx er en systemfil som brukes av Windows Event Viewer for å lagre Windows Event Log. Formatet erstattet de eldre .evt binære loggene da Microsoft introduserte det med Windows Vista og Windows Server 2008. Begge formatene gjenkjennes fortsatt på moderne Windows-systemer. Event Viewer - og verktøy som PowerShells Get-WinEvent - kan åpne .evtx-filer direkte; de er også de innfødte live-loggene som skrives kontinuerlig av operativsystemet til %SystemRoot%\System32\winevt\Logs.
Windows logger alle hendelser knyttet til en gitt maskin og applikasjonene som kjører på den. Hendelser er delt inn i flere dedikerte journalfiler, der de fire viktigste er:
- Applikasjonsjournal - logger informasjon relatert til kjørende applikasjoner,
- Sikkerhetsjournal - logger alle hendelser relatert til systemsikkerhet (for eksempel brukerpåloggingsforsøk),
- Installasjonsjournal - logger hendelser relatert til systeminstallasjoner som oppdateringer,
- Systemjournal - inneholder diverse informasjon om Windows-systemet.
Alle journaler unntatt sikkerhetsjournalen grupperer oppføringer i tre typer:
- Informasjon
- Advarsel
- Feil
Hver oppføring tildeles en unik Event ID, et tidsstempel, navnet på kilden som utløste hendelsen, og en kort beskrivelse. Den beskrivelsen vises kanskje ikke riktig hvis kildeapplikasjonen ikke er installert på maskinen der loggen leses. Systemadministratorer ber noen ganger brukere om å sende en .evtx-fil for feilsøking; den kan åpnes i Event Viewer eller analyseres med kommandolinjeverktøy som EvtxECmd eller Get-WinEvent.
Internt lagrer .evtx oppføringer som binær XML (BinXML) pakket i 64 KiB-blokker, noe som gjør det langt mer effektivt og strukturert enn forgjengeren. Hver blokk og filhodet er beskyttet av en CRC-32-sjekksum, noe som muliggjør deteksjon av manipulering og korrupsjon. .evtx-formatet er mye brukt i Windows-forensikk og hendelseshåndtering.
Sikkerhet og trygghet
RISIKO: LOWEVTX-filer er inerte datalogger - de kan ikke kjøres og inneholder ingen makroer, så det er trygt å åpne en i Event Viewer eller en analysator. Sikkerhetsaspektet er det motsatte: EVTX-filer ER bevisene. Angripere sletter eller manipulerer logger (Sikkerhetshendelse ID 1102 registrerer sletting av logg), så ved hendelseshåndtering er bekymringen manglende eller endrede logger, ikke ondsinnede logger. En praktisk advarsel: EVTX-oppføringer kan inneholde strenger kontrollert av angripere (kommandolinjer, stier), så ved analyse av upålitelige logger bør du bruke verktøy som ikke kjører innebygd innhold og være forsiktig med å lime inn rå felt i terminaler. Logger kan også inneholde sensitive data (brukernavn, vertsnavn, IP-er) - håndter eksporterte .evtx-filer deretter.
Formatdetaljer
i et nøtteskallProgrammer som åpner EVTX-filer
Windows4 apps
Event Viewer
Innebygd Kjør eventvwr.msc, deretter Handling > Åpne lagret logg og velg .evtx. Den innebygde viseren med full funksjonalitet, Generelt/Detaljer (XML)-faner og filtrering.
EvtxECmd (Eric Zimmerman)
Gratis Kommandolinjeverktøy for forensikk: «EvtxECmd.exe -f log.evtx --csv out» eksporterer oppføringer til CSV/JSON for analyse i Timeline Explorer eller Excel.
PowerShell (Get-WinEvent)
Innebygd Get-WinEvent -Path log.evtx sender hendelser videre til filtrering/eksport; f.eks. legg til | Export-Csv out.csv. Skriptbart, krever ingen ekstra installasjon.
Chainsaw
Åpen kildekode Rask EVTX-jakt med Sigma-regler for trusseldeteksjon: «chainsaw hunt log.evtx -s sigma/». For DFIR/blue-team bruk. 
macOS1 app
python-evtx
Åpen kildekode pip install python-evtx, deretter «evtx_dump.py log.evtx» konverterer oppføringer til lesbar XML på macOS/Linux uten Windows. 
Linux2 apps
evtx (Rust evtx_dump)
Åpen kildekode Rask plattformuavhengig analysator: «evtx_dump log.evtx» produserer XML/JSON. Installer via cargo eller pip (python-bindingen «evtx»).
python-evtx
Åpen kildekode pip install python-evtx, deretter «evtx_dump.py log.evtx» konverterer oppføringer til lesbar XML på macOS/Linux uten Windows. Tekniske detaljer
dyp spesifikasjon| Filsignatur | `ElfFile\0` (hex `45 6C 66 46 69 6C 65 00`) ved byte-offset 0 |
| Blokksignatur | `ElfChnk\0` ved starten av hver 64 KiB datablokk; hver hendelsesoppføring starter med markøren `2A 2A 00 00` |
| Intern koding | Binær XML (BinXML) - hendelser lagret som binærkodet XML ved bruk av maler og strengtabeller per blokk, noe som unngår ressursbruken til ren tekst-XML |
| Blokkstørrelse | 64 KiB (65 536 byte) per blokk; filhodet opptar de første 4 096 bytene |
| Byterekkefølge | Little-endian gjennomgående |
| MIME-type | `application/octet-stream` |
| Integritetsmekanisme | CRC-32-sjekksummer på filhodet, hvert blokkhode og hver hendelsesoppføring - muliggjør deteksjon av manipulering og korrupsjon |
| Standard loggplassering | `%SystemRoot%\System32\winevt\Logs\` - én `.evtx`-fil per loggkanal (f.eks. `Application.evtx`, `Security.evtx`, `System.evtx`) |
| Forgjengerformat | `.evt` (Windows 2000/XP/2003 binær hendelseslogg, erstattet fra og med Windows Vista) |
| Formatversjon | Filhodet inneholder felt for major/minor versjon (vanligvis 3.1 eller 3.2); formatet har vært stabilt siden Windows Vista |
| Standard maksimal loggstørrelse | Konfigurerbar per kanal; typiske standardverdier varierer fra 1 MB til 20 MB; logger overskrives eller arkiveres når grensen er nådd |
| Støttede operativsystemer | Windows Vista, 7, 8, 10, 11 og Windows Server 2008 og nyere; også lesbar på Linux og macOS via åpen kildekode-verktøy |
| Komprimering | Ingen - BinXML-oppføringer lagres ukomprimert; plassbesparelser kommer fra binær koding fremfor komprimering |
| Record-tabeller per blokk | Hver 64 KiB-blokk inneholder sin egen strengtabell og maltabell for selvstendig dekoding av oppføringene i den blokken |
| Utgitt | 2006-2007 (Windows Vista / Windows Server 2008, replacing the .evt format) |
| Siste versjon | EVTX (current in Windows 11 / Server 2025; format stable since Vista) |
| Spesifikasjon | learn.microsoft.com |
EVTX-konverteringer
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om EVTX-filer.
