Что такое формат файла EVT?
.evt - это устаревший формат журнала событий Windows, представленный в Windows NT 3.1 в 1993 году и использовавшийся до Windows XP и Windows Server 2003 включительно. Три встроенных канала журналов - System, Application и Security - хранили записи в файлах .evt, расположенных в директории %SystemRoot%\System32\config\.
Каждый файл начинается с 48-байтового заголовка, идентифицируемого четырехбайтовой сигнатурой LfLe (hex 4C 66 4C 65). Каждая запись EVENTLOGRECORD переменной длины начинается с тех же байтов в формате little-endian (0x654C664C) и заканчивается копией общей длины самой записи, что позволяет выполнять двунаправленный обход. Текстовые строки внутри записей закодированы в UTF-16 LE. Неиспользуемое пространство буфера заполняется контрольным значением 0x00000027.
Журнал работает как кольцевой буфер: при достижении настраиваемого максимального размера (по умолчанию 512 КБ) файл либо перезаписывает старые записи, либо прекращает запись, в зависимости от политики администратора.
Microsoft заменила .evt на .evtx - журнал событий Windows на базе XML - начиная с Windows Vista и Server 2008 в 2007 году. Современный Просмотр событий Windows может открывать файлы .evt в режиме совместимости. Полная бинарная структура описана в спецификации протокола [MS-EVEN] на портале Microsoft Learn.
Безопасность и защита
РИСК: LOWФайлы EVT содержат данные журналов, а не исполняемый контент. Однако строки событий могут содержать данные, контролируемые злоумышленником (например, внедренные через «отравление» логов); аналитикам следует рассматривать строки контента как недоверенные входные данные при парсинге. В криминалистике манипуляции с логами (очистка или усечение файлов EVT) сами по себе являются индикатором компрометации - проверьте журнал Security на наличие Event ID 517/1102 (очистка журнала аудита).
Детали формата
в двух словахПрограммы, открывающие файлы EVT
Windows4 apps
Windows Event Viewer
Встроенная Откройте eventvwr.msc, затем «Действие» > «Открыть сохраненный журнал», выберите файл .evt.
Microsoft Log Parser 2.2
Бесплатно Используйте команду: LogParser.exe "SELECT * FROM file.evt" -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Бесплатно EVTXECmd.exe -f file.evt --csv output\ - экспорт в CSV/JSON для анализа.
LibEVT (libyal)
Открытый код Библиотека командной строки для парсинга файлов EVT в Windows/Linux/macOS. 
Linux1 app
LibEVT (libyal)
Открытый код Библиотека командной строки для парсинга файлов EVT в Windows/Linux/macOS. Технические подробности
глубокая спецификация| Тип файла | Бинарный структурированный журнал событий (устаревший Windows) |
| Разработчик | Microsoft Corporation |
| Кодировка | Бинарная, little-endian |
| Кодировка строк | UTF-16 LE (строки сообщений о событиях) |
| Сигнатура заголовка файла | LfLe (hex 4C 66 4C 65) по смещению 0; заголовок составляет 48 байт |
| Сигнатура записи | 0x654C664C (eLfL) в начале каждой записи EVENTLOGRECORD |
| Структура записи | EVENTLOGRECORD переменной длины; общая длина дублируется в конце для двунаправленного обхода |
| Модель буфера | Кольцевая - перезаписывает старые записи или останавливается при достижении макс. размера (настраивается политикой) |
| Макс. размер файла по умолчанию | 512 КБ (настраивается администратором) |
| Заполнение пустого места | Контрольное значение 0x00000027 |
| Каналы журналов | System, Application, Security (три встроенных журнала) |
| Поддерживаемые ОС | Windows NT 3.1 до Windows XP и Windows Server 2003 |
| Заменен на | .evtx (Windows XML Event Log), представленный в Windows Vista / Server 2008 (2007) |
| Документация формата | Спецификация протокола [MS-EVEN] (Microsoft Learn) |
| Современная совместимость | Просмотр событий Windows открывает файлы .evt в режиме совместимости на Vista и более поздних версиях |
| Выпущен | 1993 (Windows NT 3.1) |
| Последняя версия | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Спецификация | learn.microsoft.com |
Конвертации EVT
Вопросы и ответы сообщества
спрошено пользователямиВопросов пока нет - станьте первым, кто спросит о файлах EVT.
