Vad är filformatet EVTX?
.evtx är en systemfil som används av Windows Loggbok för att lagra Windows händelselogg. Formatet ersatte de äldre binära .evt-loggarna när Microsoft introducerade det i och med Windows Vista och Windows Server 2008. Båda formaten känns fortfarande igen på moderna Windows-system. Loggboken - och verktyg som PowerShells Get-WinEvent - kan öppna .evtx-filer direkt; de är också de infödda live-loggarna som skrivs kontinuerligt av operativsystemet till %SystemRoot%\System32\winevt\Logs.
Windows loggar alla händelser som rör en viss maskin och de program som körs på den. Händelserna är uppdelade i flera dedikerade journalfiler, där de fyra viktigaste är:
- Programjournal - loggar information relaterad till körda program,
- Säkerhetsjournal - loggar alla händelser relaterade till systemsäkerhet (till exempel användares inloggningsförsök),
- Installationsjournal - loggar händelser relaterade till systeminstallationer såsom uppdateringar,
- Systemjournal - innehåller diverse information om Windows-systemet.
Alla journaler utom säkerhetsjournalen grupperar ytterligare poster i tre typer:
- Information
- Varning
- Fel
Varje post tilldelas ett unikt händelse-ID, en tidsstämpel, namnet på källan som utlöste händelsen och en kort beskrivning. Den beskrivningen kanske inte visas korrekt om källprogrammet inte är installerat på den maskin där loggen läses. Systemadministratörer ber ibland användare att skicka en .evtx-fil för felsökning; den kan öppnas i Loggboken eller parsas med kommandoradsverktyg som EvtxECmd eller Get-WinEvent.
Internt lagrar .evtx poster som binär XML (BinXML) packade i 64 KiB-block, vilket gör det betydligt mer effektivt och strukturerat än sin föregångare. Varje block och filhuvudet skyddas av en CRC-32-kontrollsumma, vilket möjliggör detektering av manipulation och korruption. Formatet .evtx används i stor utsträckning inom Windows-forensik och incidenthantering.
Säkerhet & trygghet
RISK: LOWEVTX-filer är inerta dataloggar - de exekveras inte och innehåller inga makron, så det är säkert att öppna dem i Loggboken eller en parser. Säkerhetsaspekten är snarare den motsatta: EVTX-filer ÄR bevisen. Angripare rensar eller manipulerar ofta loggar (Säkerhetshändelse-ID 1102 registrerar en loggrensing), så vid incidenthantering är oron saknade eller ändrade loggar, inte skadliga sådana. En praktisk varning: EVTX-poster kan innehålla strängar som kontrolleras av en angripare (kommandorader, sökvägar), så när du parsar opålitliga loggar bör du använda verktyg som inte exekverar inbäddat innehåll och vara försiktig med att klistra in råa fält i skal. Loggar kan också innehålla känsliga data (användarnamn, värdnamn, IP-adresser) - hantera exporterade .evtx-filer därefter.
Formatdetaljer
i ett nötskalProgram som öppnar EVTX-filer
Windows4 apps
Event Viewer
Inbyggd Kör eventvwr.msc, sedan Åtgärd > Öppna sparad logg och välj .evtx. Den inbyggda visaren med full funktionalitet, flikar för Allmänt/Information (XML) och filtrering.
EvtxECmd (Eric Zimmerman)
Gratis Kommandoradsparser för forensik: «EvtxECmd.exe -f log.evtx --csv out» exporterar poster till CSV/JSON för analys i Timeline Explorer eller Excel.
PowerShell (Get-WinEvent)
Inbyggd Get-WinEvent -Path log.evtx skickar händelser vidare för filtrering/export; t.ex. lägg till | Export-Csv out.csv. Skriptbart, kräver ingen extra installation.
Chainsaw
Öppen källkod Snabb EVTX-jakt med Sigma-regler för hotidentifiering: «chainsaw hunt log.evtx -s sigma/». För DFIR/blue-team-användning. 
macOS1 app
python-evtx
Öppen källkod pip install python-evtx, sedan «evtx_dump.py log.evtx» konverterar poster till läsbar XML på macOS/Linux utan Windows. 
Linux2 apps
evtx (Rust evtx_dump)
Öppen källkod Snabb plattformsoberoende parser: «evtx_dump log.evtx» skapar XML/JSON. Installeras via cargo eller pip (python-bindningen «evtx»).
python-evtx
Öppen källkod pip install python-evtx, sedan «evtx_dump.py log.evtx» konverterar poster till läsbar XML på macOS/Linux utan Windows. Tekniska detaljer
djup specifikation| Filsignatur | `ElfFile\0` (hex `45 6C 66 46 69 6C 65 00`) vid byte-offset 0 |
| Blocksignatur | `ElfChnk\0` i början av varje 64 KiB datablock; varje händelsepost börjar med markören `2A 2A 00 00` |
| Intern kodning | Binär XML (BinXML) - händelser lagras som binärkodad XML med mallar och strängtabeller per block, vilket undviker overhead från vanlig text-XML |
| Blockstorlek | 64 KiB (65 536 bytes) per block; filhuvudet upptar de första 4 096 byten |
| Byteordning | Little-endian genomgående |
| MIME-typ | `application/octet-stream` |
| Integritetsmekanism | CRC-32-kontrollsummor på filhuvudet, varje blockhuvud och varje händelsepost - möjliggör detektering av manipulation och korruption |
| Standardplats för loggar | `%SystemRoot%\System32\winevt\Logs\` - en `.evtx`-fil per loggkanal (t.ex. `Application.evtx`, `Security.evtx`, `System.evtx`) |
| Föregångarformat | `.evt` (binär händelselogg för Windows 2000/XP/2003, ersatt från och med Windows Vista) |
| Formatversion | Headern innehåller fält för huvud- och underversion (vanligtvis 3.1 eller 3.2); formatet har varit stabilt sedan Windows Vista |
| Standard för maximal loggstorlek | Konfigurerbart per kanal; typiska standardvärden varierar från 1 MB till 20 MB; loggar skrivs över eller arkiveras när gränsen nås |
| Operativsystem som stöds | Windows Vista, 7, 8, 10, 11 och Windows Server 2008 och senare; även läsbar på Linux och macOS via parsers med öppen källkod |
| Komprimering | Ingen - BinXML-poster lagras okomprimerade; utrymmesbesparingar kommer från binär kodning snarare än komprimering |
| Posttabeller per block | Varje 64 KiB-block innehåller sin egen strängtabell och malltabell för fristående avkodning av posterna inom det blocket |
| Släppt | 2006-2007 (Windows Vista / Windows Server 2008, replacing the .evt format) |
| Senaste version | EVTX (current in Windows 11 / Server 2025; format stable since Vista) |
| Specifikation | learn.microsoft.com |
EVTX-konverteringar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om EVTX-filer.
