O que é o formato de ficheiro EVTX?
.evtx é um arquivo de sistema usado pelo Visualizador de Eventos do Windows para armazenar o Log de Eventos do Windows. O formato substituiu os logs binários antigos .evt quando a Microsoft o introduziu com o Windows Vista e Windows Server 2008. Ambos os formatos ainda são reconhecidos em sistemas Windows modernos. O Visualizador de Eventos - e ferramentas como o Get-WinEvent do PowerShell - podem abrir arquivos .evtx diretamente; eles também são os logs ativos nativos gravados continuamente pelo sistema operacional em %SystemRoot%\System32\winevt\Logs.
O Windows registra todos os eventos pertencentes a uma determinada máquina e aos aplicativos que nela são executados. Os eventos são divididos em vários arquivos de diário dedicados, sendo os quatro principais:
- Diário de Aplicativo (Application) - registra informações relacionadas a aplicativos em execução,
- Diário de Segurança (Security) - registra todos os eventos relacionados à segurança do sistema (por exemplo, tentativas de login de usuário),
- Diário de Instalação (Setup) - registra eventos relacionados a instalações do sistema, como atualizações,
- Diário do Sistema (System) - contém várias informações sobre o sistema Windows.
Todos os diários, exceto o de Segurança, agrupam as entradas em três tipos:
- Informações
- Aviso
- Erro
Cada entrada recebe um ID de Evento exclusivo, um carimbo de data/hora, o nome da fonte que gerou o evento e uma breve descrição. Essa descrição pode não ser exibida corretamente se o aplicativo de origem não estiver instalado na máquina onde o log está sendo lido. Administradores de sistema às vezes pedem aos usuários que enviem um arquivo .evtx para solução de problemas; ele pode ser aberto no Visualizador de Eventos ou analisado com ferramentas de linha de comando como EvtxECmd ou Get-WinEvent.
Internamente, o .evtx armazena registros como XML binário (BinXML) compactados em blocos de 64 KiB, tornando-o muito mais eficiente e estruturado que seu antecessor. Cada bloco e o cabeçalho do arquivo são protegidos por uma soma de verificação CRC-32, permitindo a detecção de adulteração e corrupção. O formato .evtx é amplamente utilizado em computação forense do Windows e resposta a incidentes.
Segurança e proteção
RISCO: LOWArquivos EVTX são logs de dados inertes - eles não executam e não contêm macros, portanto, abrir um no Visualizador de Eventos ou em um analisador é seguro. O ângulo de segurança é o oposto: arquivos EVTX SÃO a evidência. Atacantes limpam ou adulteram logs (o ID de evento de Segurança 1102 registra uma limpeza de log), portanto, na resposta a incidentes, a preocupação são logs ausentes ou alterados, não logs maliciosos. Uma precaução prática: registros EVTX podem conter strings controladas por atacantes (linhas de comando, caminhos), portanto, ao analisar logs não confiáveis, use ferramentas que não executem conteúdo incorporado e tenha cuidado ao colar campos brutos em terminais. Os logs também podem conter dados sensíveis (nomes de usuário, nomes de host, IPs) - manuseie os arquivos .evtx exportados adequadamente.
Detalhes do formato
em resumoProgramas que abrem arquivos EVTX
Windows4 apps
Event Viewer
Integrado Execute eventvwr.msc, depois Ação > Abrir Log Salvo e selecione o .evtx. O visualizador nativo de fidelidade total com os painéis Geral/Detalhes (XML) e filtragem.
EvtxECmd (Eric Zimmerman)
Gratuito Analisador de linha de comando para forense: «EvtxECmd.exe -f log.evtx --csv out» exporta registros para CSV/JSON para análise no Timeline Explorer ou Excel.
PowerShell (Get-WinEvent)
Integrado Get-WinEvent -Path log.evtx envia eventos para filtragem/exportação; ex: adicione | Export-Csv out.csv. Programável, sem instalação extra.
Chainsaw
Código aberto Busca rápida em EVTX com regras Sigma para detecção de ameaças: «chainsaw hunt log.evtx -s sigma/». Para uso em DFIR/blue-team. 
macOS1 app
python-evtx
Código aberto pip install python-evtx, então «evtx_dump.py log.evtx» converte registros em XML legível no macOS/Linux sem Windows. 
Linux2 apps
evtx (Rust evtx_dump)
Código aberto Analisador multiplataforma rápido: «evtx_dump log.evtx» gera XML/JSON. Instale via cargo ou pip (o binding python «evtx»).
python-evtx
Código aberto pip install python-evtx, então «evtx_dump.py log.evtx» converte registros em XML legível no macOS/Linux sem Windows. Detalhes técnicos
especificação profunda| Assinatura do arquivo | `ElfFile\0` (hex `45 6C 66 46 69 6C 65 00`) no deslocamento de byte 0 |
| Assinatura do bloco | `ElfChnk\0` no início de cada bloco de dados de 64 KiB; cada registro de evento começa com o marcador `2A 2A 00 00` |
| Codificação interna | XML Binário (BinXML) - eventos armazenados como XML codificado em binário usando tabelas de modelos e strings por bloco, evitando a sobrecarga do XML em texto simples |
| Tamanho do bloco | 64 KiB (65.536 bytes) por bloco; o cabeçalho do arquivo ocupa os primeiros 4.096 bytes |
| Ordem dos bytes | Little-endian em todo o arquivo |
| Tipo MIME | `application/octet-stream` |
| Mecanismo de integridade | Somas de verificação CRC-32 no cabeçalho do arquivo, em cada cabeçalho de bloco e em cada registro de evento - permite a detecção de adulteração e corrupção |
| Localização padrão do log | `%SystemRoot%\System32\winevt\Logs\` - um arquivo `.evtx` por canal de log (ex: `Application.evtx`, `Security.evtx`, `System.evtx`) |
| Formato antecessor | `.evt` (log de eventos binário do Windows 2000/XP/2003, substituído a partir do Windows Vista) |
| Versão do formato | O cabeçalho contém campos de versão major/minor (comumente 3.1 ou 3.2); formato estável desde o Windows Vista |
| Tamanho máximo padrão do log | Configurável por canal; os padrões típicos variam de 1 MB a 20 MB; os logs sobrescrevem os antigos ou são arquivados quando o limite é atingido |
| Sistemas operacionais suportados | Windows Vista, 7, 8, 10, 11 e Windows Server 2008 e posteriores; também legível em Linux e macOS via analisadores de código aberto |
| Compressão | Nenhuma - os registros BinXML são armazenados sem compressão; a economia de espaço vem da codificação binária em vez da compressão |
| Tabelas de registros por bloco | Cada bloco de 64 KiB contém sua própria tabela de strings e tabela de modelos para decodificação autônoma dos registros dentro daquele bloco |
| Lançado | 2006-2007 (Windows Vista / Windows Server 2008, replacing the .evt format) |
| Versão mais recente | EVTX (current in Windows 11 / Server 2025; format stable since Vista) |
| Especificação | learn.microsoft.com |
Conversões de EVTX
Perguntas e Respostas da Comunidade
perguntado por usuáriosAinda não há perguntas - seja o primeiro a perguntar sobre arquivos EVTX.
