Kann ich eine EVTX-Datei auf einem Mac öffnen?

Ja. macOS hat keinen integrierten Viewer für Windows-Ereignisprotokolle, aber ein browserbasierter Viewer wie dieser oder ein Kommandozeilen-Parser wie evtx_dump liest die Datei direkt. Es ist keine Windows-VM erforderlich.

Wie öffne ich eine EVTX-Datei unter Linux?

Öffnen Sie sie in diesem browserbasierten Viewer, oder verwenden Sie evtx_dump oder python-evtx aus einem Terminal. Alle drei parsen das Binärformat nativ unter Linux.

Sehe ich denselben Meldungstext wie in der Ereignisanzeige?

Sie sehen jedes strukturierte Feld jedes Ereignisses. Der freundliche Meldungssatz wird unter Windows aus Anbieter-DLLs gerendert, die nicht Teil der .evtx sind, sodass kein macOS- oder Linux-Tool ihn exakt reproduzieren kann.

Ist es sicher, sensible Protokolle in einem Browser zu öffnen?

Mit diesem Viewer ja: Die Datei wird innerhalb Ihres Browser-Tabs geparst und niemals irgendwohin gesendet. Sie können nach dem Laden der Seite die Netzwerkverbindung trennen, um das zu bestätigen.

EVTX-Dateien unter Mac und Linux öffnen

Die Ereignisanzeige gibt es nur unter Windows, aber .evtx-Dateien landen oft auf einem Mac oder einer Linux-Analysestation. Die schnellste Option ist dieser browserbasierte EVTX-Viewer: Er läuft in Safari, Chrome oder Firefox auf jedem Betriebssystem, parst die Datei lokal mit WebAssembly und lädt sie nie hoch.

EVTX-Viewer öffnen ↗

Ihre Optionen unter macOS und Linux

Im Browser (keine Installation)

Legen Sie die .evtx auf der Startseite von EVTX parser ab. Sie erhalten eine durchsuchbare Tabelle, eine Event-ID-Aufschlüsselung, eine Zeitleiste, integrierte Erkennungen sowie CSV-, TXT-, JSON- oder XML-Export. Das funktioniert auf macOS, Linux und ChromeOS gleichermaßen.

evtx_dump (Rust-CLI)

Der schnellste Kommandozeilen-Parser, mit vorgefertigten macOS- und Linux-Binaries. Gibt XML, JSON oder JSON Lines aus.

evtx_dump -o jsonl Security.evtx | jq 'select(.Event.System.EventID == 4624)'

python-evtx

Eine reine Python-Bibliothek samt Skript, praktisch in Notebooks und bestehendem Python-Tooling. Bei großen Protokollen langsamer als der Rust-Parser.

pip install python-evtx
evtx_dump.py Security.evtx > security.xml

Chainsaw oder Hayabusa

Plattformübergreifende Hunting-Tools, die Sigma-Regeln über einen Ordner voller .evtx-Dateien laufen lassen. Nutzen Sie sie, wenn Sie Erkennungen über viele Protokolle hinweg statt nur ein einzelnes zu durchsuchen wünschen.

So öffnen Sie eine EVTX-Datei auf einem Mac

1
Kopieren Sie die .evtx vom Windows-HostProtokolle liegen unter C:\Windows\System32\winevt\Logs. Kopieren Sie die benötigten Dateien (Security.evtx, System.evtx…) oder exportieren Sie sie aus der Ereignisanzeige mit „Alle Ereignisse speichern unter“.
2
Öffnen Sie EVTX parser in Ihrem BrowserSafari, Chrome und Firefox funktionieren alle. Der Parser wird einmal geladen und läuft danach offline.
3
Datei ablegen und erkundenZiehen Sie die .evtx auf die Seite. Filtern Sie nach Event ID, Benutzer oder Zeit, öffnen Sie das rohe XML jedes Ereignisses und exportieren Sie, was Sie brauchen.

FAQ zu EVTX unter Mac und Linux

Kann ich eine EVTX-Datei auf einem Mac öffnen?: Ja. macOS hat keinen integrierten Viewer für Windows-Ereignisprotokolle, aber ein browserbasierter Viewer wie dieser oder ein Kommandozeilen-Parser wie evtx_dump liest die Datei direkt. Es ist keine Windows-VM erforderlich.
Wie öffne ich eine EVTX-Datei unter Linux?: Öffnen Sie sie in diesem browserbasierten Viewer, oder verwenden Sie evtx_dump oder python-evtx aus einem Terminal. Alle drei parsen das Binärformat nativ unter Linux.
Sehe ich denselben Meldungstext wie in der Ereignisanzeige?: Sie sehen jedes strukturierte Feld jedes Ereignisses. Der freundliche Meldungssatz wird unter Windows aus Anbieter-DLLs gerendert, die nicht Teil der .evtx sind, sodass kein macOS- oder Linux-Tool ihn exakt reproduzieren kann.
Ist es sicher, sensible Protokolle in einem Browser zu öffnen?: Mit diesem Viewer ja: Die Datei wird innerhalb Ihres Browser-Tabs geparst und niemals irgendwohin gesendet. Sie können nach dem Laden der Seite die Netzwerkverbindung trennen, um das zu bestätigen.