EVTX parser — visor de registros de Windows en el navegador
Suelta un registro de eventos .evtx de Windows. El análisis se ejecuta en tu navegador mediante WebAssembly — no se sube nada.
Cómo obtener tus archivos .evtx
¿Nunca has sacado registros de eventos de un equipo Windows? Elige el primer método que te sirva: es cuestión de un minuto.
- Recopila los archivos .evtx
- Suéltalos aquí (puedes soltar varios a la vez)
- Todo se queda en tu navegador
Ejecuta como administrador en el equipo Windows (clic derecho en PowerShell o en el Símbolo del sistema → Ejecutar como administrador). Leer el registro de Seguridad requiere permisos de administrador.
Exporta los registros clave de una vez
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }Guarda los registros Security, System, Application, PowerShell y Sysmon en C:\triage\. Si un registro no existe en el equipo (p. ej., Sysmon no está instalado), solo muestra un error: ignóralo. Después suelta aquí los archivos de C:\triage\.
Solo el registro de Seguridad
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:true¿Sin línea de comandos? Usa el Visor de eventos
Ejecuta eventvwr.msc → Registros de Windows → clic derecho en Seguridad (o cualquier registro) → «Guardar todos los eventos como…» (Save All Events As…) → deja el tipo «Archivos de eventos (*.evtx)» → Guardar.
Ejecuta como administrador. KAPE y Velociraptor son descargas gratuitas aparte, desde sus páginas oficiales. También recogen los archivos archivados Archive-*.evtx que una exportación omite.
KAPE — target EventLogs
kape.exe --tsource C: --target EventLogs --tdest C:\triageCopia todos los .evtx de winevt\Logs dentro de C:\triage\, conservando la estructura de carpetas original. Abre esa carpeta Logs, selecciona todos los .evtx y suéltalos aquí.
Velociraptor — recolector offline
En la interfaz de Velociraptor: Server Artifacts → Build offline collector → selecciona Windows.Triage.Targets (del proyecto Velociraptor Triage) → marca el target EventLogs → genéralo y ejecuta el recolector en el equipo como administrador. Genera un ZIP de la recopilación. Descomprime primero: los .evtx están bajo la carpeta winevt/Logs del archivo.
Versiones antiguas de Velociraptor — línea de comandos
mkdir C:\triage 2>nul & velociraptor.exe artifacts collect Windows.KapeFiles.Targets --args EventLogs=Y --output C:\triage\evtx.zipSolo para versiones que aún incluyen Windows.KapeFiles.Targets, el nombre anterior del artefacto de triaje. Recoge su target EventLogs en C:\triage\evtx.zip; pon el nombre de tu binario de Velociraptor. Descomprime primero: los .evtx están bajo la carpeta winevt/Logs del archivo.
¿Ya tienes una imagen E01/raw o una copia del disco? Extrae los archivos de \Windows\System32\winevt\Logs\ de la partición de Windows: no hacen falta permisos de administrador ni el equipo encendido.
FTK Imager
File → Add Evidence Item → Image File → navega hasta [root]\Windows\System32\winevt\Logs → selecciona los .evtx → clic derecho → Export Files.
Imagen montada (Linux / macOS)
mkdir -p ~/triage && cp /mnt/win/Windows/System32/winevt/Logs/*.evtx ~/triage/Supone que la partición de Windows está montada en solo lectura en /mnt/win (p. ej., ewfmount + mount -o ro, o Arsenal Image Mounter en Windows): ajusta la ruta a tu punto de montaje.
Cada canal del registro de eventos es un archivo .evtx independiente, todos en la misma carpeta (Windows Vista / Server 2008 y posteriores):
C:\Windows\System32\winevt\Logs\- Archivos principales:
Security.evtx,System.evtx,Application.evtx; la/de un nombre de canal pasa a ser%4, p. ej.Microsoft-Windows-Sysmon%4Operational.evtx. Cada archivo es autónomo, sin archivos complementarios. Suelta varios y se combinan en una sola línea de tiempo. - Los registros rotados se guardan al lado como
Archive-Security-<marca de tiempo>.evtxsi la copia automática está activada: suéltalos también.
¿Registro movido? Comprueba su ruta real (logFileName)
wevtutil gl SecurityErrores habituales
- Una copia normal de un registro activo falla porque Windows lo mantiene abierto: usa uno de los métodos anteriores, no el Explorador ni
copy. - Los registros son circulares: al llenarse, se sobrescriben los eventos más antiguos (el tamaño por defecto suele ser de solo 20 MB). Recopila pronto y coge también los
Archive-*.evtx:wevtutil eplsolo exporta el registro activo. - Suelta archivos .evtx, no un .zip ni una carpeta: descomprime primero y selecciona todos los .evtx. Las horas se muestran en UTC por defecto (cambia a hora local en el visor).
- Security
- System
- Sysmon
- PowerShell
- RDP
- Defender
- Task Scheduler
- WMI
- Application
¿Qué es un archivo EVTX?
Un archivo .evtx es un registro de eventos de Windows — el formato binario que Windows usa desde Vista para guardar eventos de seguridad, sistema y aplicaciones. Están en C:\Windows\System32\winevt\Logs (Security.evtx, System.evtx, Application.evtx…) y no son texto plano, así que el Bloc de notas no puede leerlos. Suelta uno arriba para verlo. Guía completa del formato EVTX →
Del .evtx en bruto a hallazgos en minutos
Todo lo que un analista DFIR necesita, sin instalar el Visor de eventos, Python ni un SIEM.
Hunts y reglas Sigma al abrir
86 hunts integrados y 2395 reglas Sigma de SigmaHQ — Kerberoasting, borrado de registros, cradles de PowerShell, servicios nuevos, fuerza bruta — se ejecutan al cargar el archivo.
Un lenguaje de consulta para analistas
Campo:valor, comodines, comillas y negación sobre cada campo EventData, con facetas al instante y orden por valores raros.
Pivotes en un clic
Salta de cualquier evento al mismo Logon ID, GUID de proceso, proceso padre o a una ventana de ±5 minutos.
Sesiones de inicio reconstruidas
Quién inició sesión, cómo, desde dónde, con qué privilegios y qué hizo — de 4624 a 4634, una fila por sesión.
Notas e informe Markdown
Marca y anota eventos, exporta un informe limpio o comparte una vista filtrada con un enlace.
Offline y de código abierto
Funciona aislado en Docker, Elastic License 2.0, parser en Rust auditable en GitHub.
$ docker run --rm -p 3000:3000 evtx-parser
- reglas de hunting integradas
- 86
- bytes subidos
- 0
- parser compilado a WebAssembly
- Rust
- idiomas
- 8
Dónde encontrar los archivos .evtx
En el equipo de origen, cada canal del registro de eventos es un archivo .evtx independiente, todos en la misma carpeta. Las rutas asumen la carpeta de Windows predeterminada, C:\Windows (%SystemRoot%).
- Carpeta de registros — todos los canalesWindows Vista / Server 2008+
C:\Windows\System32\winevt\Logs\ - Security
C:\Windows\System32\winevt\Logs\Security.evtx - System
C:\Windows\System32\winevt\Logs\System.evtx - Application
C:\Windows\System32\winevt\Logs\Application.evtx - Sysmon
C:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx - PowerShell (4103/4104)
C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx - Windows PowerShell (400/600/800)
C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx - RDP — LocalSessionManager
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx - RDP — RemoteConnectionManager
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx - Task Scheduler
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx - Defender
C:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx - Registros archivados (Archive-<canal>-<marca de tiempo>.evtx, si el archivado automático está activo)
C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx - Formato heredado .evt (también AppEvent.Evt, SysEvent.Evt) — no compatible aquíWindows XP / Server 2003
C:\Windows\System32\config\SecEvent.Evt
Cómo obtenerlo
- El servicio EventLog mantiene abiertos los registros activos, así que una copia normal falla. Desde una consola de administrador,
wevtutil epl Security C:\triage\Security.evtxexporta una copia limpia (solo el registro activo — omite los archivos Archive-*). - Para copiar la carpeta completa tal cual: KAPE (
--target EventLogs), FTK Imager o RawCopy — o léala sin conexión desde una imagen E01 montada o una instantánea de volumen (VSS). - Cada .evtx es autónomo, no necesita archivos complementarios. Un canal puede estar redirigido: confirme la ruta real con
wevtutil gl <canal>(logFileName).
Guías destacadas
- Event ID 4624 explicado: logon exitoso de Windows y referencia LogonTypeQué contiene realmente un registro 4624, por qué el campo LogonType importa más que el evento en sí, y cómo leerlos a escala.
- Event ID 4688 explicado: auditoría de creación de procesos en Windows para DFIR4688 es el registro de creación de procesos del SO base, siempre que la auditoría de línea de comandos esté activa. Esto es lo que contiene, en qué se diferencia de Sysmon 1 y los patrones de triaje que se ganan su sitio.
- Event ID 4769 explicado: tickets de servicio Kerberos y kerberoasting4769 es el registro del DC de cada solicitud de ticket de servicio. Léelo a través del tipo de cifrado y detectarás kerberoasting. Léelo con 4768 y detectarás pass-the-ticket.
- Formato de archivo EVTX explicado: chunks, plantillas e internos de BinXMLCómo se dispone un archivo .evtx a nivel de byte: cabecera de archivo, chunks de 64 KB, la tabla de plantillas y el flujo de registros BinXML que la referencia.
Un visor de EVTX en línea y gratuito que se ejecuta en tu navegador
EVTX parser es un visor de EVTX en línea y un analizador de registros de eventos de Windows. Abre un archivo .evtx — Security.evtx, System.evtx, Application.evtx, los canales de Sysmon o PowerShell — y lee cada registro sin Event Viewer, sin instalar nada y sin un host Windows.
El análisis se ejecuta íntegramente en el lado del cliente mediante un analizador Rust compilado a WebAssembly, por lo que tus registros nunca salen del navegador. Filtra por Event ID, proveedor, canal u hora, inspecciona el XML sin procesar de los eventos y exporta los resultados a CSV, JSON o XML con un par de clics. Ahora puedes abrir varios archivos .evtx a la vez y triarlos en una vista combinada.
Sigue leyendo:EVTX a XMLEVTX a CSVEVTX a TXTEVTX a JSONEVTX en Mac y Linuxevtx_dump onlineAbrir Security.evtxAbrir System.evtxEnciclopedia de Event ID de WindowsHerramientas EVTX comparadas
Herramientas relacionadas
Preguntas sobre el registro de eventos
- ¿Qué es un archivo EVTX?
- EVTX es el formato binario del registro de eventos de Windows introducido con Windows Vista. Cada .evtx es una secuencia de bloques de 64 KB; cada bloque contiene una tabla de plantillas XML y un flujo de registros que las referencian. El análisis reconstruye el XML completo de cada evento.
- ¿Dónde se encuentran los .evtx en Windows?
- Los registros activos están en C:\Windows\System32\winevt\Logs. Los tres principales en forense son Security.evtx (inicios de sesión, privilegios), System.evtx (controladores, servicios) y Application.evtx (errores de aplicación). Los canales Sysmon y PowerShell suelen ser los más valiosos en respuesta a incidentes.
- ¿Esta herramienta sube mi .evtx a algún sitio?
- No. El análisis se hace en un Web Worker con un parser EVTX en Rust compilado a WebAssembly. El archivo se lee en memoria del navegador y nunca se transmite. Desconecta la red si quieres comprobarlo.
- ¿Puede ejecutar reglas Sigma sobre archivos .evtx?
- Sí. La pestaña Sigma ejecuta unas 2.400 reglas de Windows de SigmaHQ (una versión fijada e incluida en el sitio) sobre los eventos cargados, dentro del Web Worker del navegador: como Hayabusa o Chainsaw, sin instalar nada. Las reglas de creación de procesos se aplican tanto a Sysmon (Event ID 1) como a Security 4688. También puede pegar o soltar sus propias reglas Sigma en YAML: se validan y ejecutan localmente, nunca se suben. Las detecciones y las exportaciones CSV/JSON citan al autor de cada regla, como exige la Detection Rule License 1.1.
- ¿Qué significa la columna Nivel?
- Los niveles EVTX son numéricos: 1 Crítico, 2 Error, 3 Advertencia, 4 Información, 5 Detallado. Microsoft asigna algunos IDs habituales (p. ej. Security 4625 = autenticación fallida a nivel Información) — la severidad por sí sola no basta para priorizar.
- ¿Puede manejar archivos .evtx muy grandes?
- El análisis corre en un Web Worker. La memoria escala con el tamaño; varios cientos de MB son cómodos en navegadores modernos. Para colecciones mayores, exporta con evtx_dump y recarga por tramos.
Tu próxima investigación empieza soltando un archivo.
Gratis, de código abierto y privado por diseño. Sin cuenta, sin subida, sin instalación.