Skip to content
evtxparser
DFIROpen source · 100 % dans votre navigateur

EVTX parser — visualiseur de journaux Windows dans le navigateur

Déposez un journal d'événements Windows .evtx. L'analyse s'exécute entièrement dans votre navigateur via WebAssembly — rien n'est téléversé.

Comment récupérer vos fichiers .evtx

Vous n'avez jamais extrait de journaux d'une machine Windows ? Prenez la première méthode qui vous convient : c'est l'affaire d'une minute.

  1. Collectez les fichiers .evtx
  2. Déposez-les ici (plusieurs à la fois, c'est possible)
  3. Tout reste dans votre navigateur

À exécuter en administrateur sur la machine Windows (clic droit sur PowerShell ou l'Invite de commandes → Exécuter en tant qu'administrateur). Lire le journal Sécurité exige les droits admin.

Exporter les journaux clés en une fois

PowerShell (Admin)
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }

Écrit les journaux Security, System, Application, PowerShell et Sysmon dans C:\triage\. Un journal absent de la machine (Sysmon non installé, par ex.) affiche juste une erreur : ignorez-la. Déposez ensuite ici les fichiers de C:\triage\.

Seulement le journal Sécurité

cmd (Admin)
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:true

Pas de ligne de commande ? Passez par l'Observateur d'événements

Lancez eventvwr.msc → Journaux Windows → clic droit sur Sécurité (ou un autre journal) → « Enregistrer tous les événements sous… » (Save All Events As…) → gardez le type « Fichiers d'événements (*.evtx) » → Enregistrer.

Pièges à éviter

  • Une simple copie d'un journal actif échoue car Windows le garde ouvert : utilisez une des méthodes ci-dessus, pas l'Explorateur ni copy.
  • Les journaux sont circulaires : une fois pleins, les événements les plus anciens sont écrasés (la taille par défaut n'est souvent que de 20 Mo). Collectez tôt et prenez aussi les Archive-*.evtx : wevtutil epl n'exporte que le journal actif.
  • Déposez des fichiers .evtx, pas un .zip ni un dossier : décompressez d'abord, puis sélectionnez tous les .evtx. Les heures s'affichent en UTC par défaut (basculez en heure locale dans la visionneuse).
Guide de collecte : 4 méthodes comparées →
Lit tous les canaux que vous collectez
  • Security
  • System
  • Sysmon
  • PowerShell
  • RDP
  • Defender
  • Task Scheduler
  • WMI
  • Application

Qu'est-ce qu'un fichier EVTX ?

Un fichier .evtx est un journal d'événements Windows — le format binaire utilisé depuis Vista pour enregistrer les événements de sécurité, système et application. Ils se trouvent dans C:\Windows\System32\winevt\Logs (Security.evtx, System.evtx, Application.evtx…) et ne sont pas du texte brut : le Bloc-notes ne peut pas les lire. Déposez-en un ci-dessus pour l'afficher. Guide complet du format EVTX →

Conçu pour la réponse à incident

Du .evtx brut aux constats en quelques minutes

Tout ce dont un analyste DFIR a besoin, sans installer l'Observateur d'événements, Python ou un SIEM.

  • Chasses et règles Sigma dès l'ouverture

    86 chasses intégrées et 2395 règles Sigma de SigmaHQ — Kerberoasting, effacement des journaux, cradles PowerShell, nouveaux services, force brute — lancées dès le chargement.

  • Un langage de requête d'analyste

    Champ:valeur, jokers, guillemets et négation sur tous les champs EventData, avec facettes instantanées et tri des valeurs rares.

  • Pivots en un clic

    Passez de n'importe quel événement au même Logon ID, au même GUID de processus, au parent ou à une fenêtre de ±5 minutes.

  • Sessions de connexion reconstruites

    Qui s'est connecté, comment, d'où, avec quels privilèges et ce qu'il a fait — de 4624 à 4634, une ligne par session.

  • Notes et rapport Markdown

    Marquez et annotez des événements, exportez un rapport propre ou partagez une vue filtrée par lien.

  • Hors ligne et open source

    Fonctionne isolé dans Docker, licence Elastic 2.0, analyseur Rust auditable sur GitHub.

    $ docker run --rm -p 3000:3000 evtx-parser
règles de chasse intégrées
86
octet téléversé
0
analyseur compilé en WebAssembly
Rust
langues
8

Où trouver les fichiers .evtx

Sur la machine source, chaque canal du journal d'événements est un fichier .evtx distinct, tous dans le même dossier. Les chemins supposent le dossier Windows par défaut, C:\Windows (%SystemRoot%).

  • Dossier des journaux — tous les canauxWindows Vista / Server 2008+C:\Windows\System32\winevt\Logs\
  • SecurityC:\Windows\System32\winevt\Logs\Security.evtx
  • SystemC:\Windows\System32\winevt\Logs\System.evtx
  • ApplicationC:\Windows\System32\winevt\Logs\Application.evtx
  • SysmonC:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
  • PowerShell (4103/4104)C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx
  • Windows PowerShell (400/600/800)C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx
  • RDP — LocalSessionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
  • RDP — RemoteConnectionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
  • Task SchedulerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx
  • DefenderC:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx
  • Journaux archivés (Archive-<canal>-<horodatage>.evtx, si l'archivage auto est activé)C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx
  • Ancien format .evt (aussi AppEvent.Evt, SysEvent.Evt) — non pris en charge iciWindows XP / Server 2003C:\Windows\System32\config\SecEvent.Evt

Comment le récupérer

  • Le service EventLog garde les journaux actifs ouverts : une simple copie échoue. Dans un shell administrateur, wevtutil epl Security C:\triage\Security.evtx exporte une copie propre (journal actif uniquement — les fichiers Archive-* sont ignorés).
  • Pour récupérer le dossier entier tel quel : KAPE (--target EventLogs), FTK Imager ou RawCopy — ou lecture hors ligne depuis une image E01 montée ou un cliché instantané (VSS).
  • Chaque .evtx est autonome, aucun fichier compagnon n'est requis. Un canal peut être redirigé : vérifiez le chemin réel avec wevtutil gl <canal> (logFileName).
Guide de collecte : 4 méthodes comparées →
DFIR

Guides en vedette

Une visionneuse EVTX en ligne et gratuite qui s'exécute dans votre navigateur

EVTX parser est une visionneuse EVTX en ligne et un analyseur de journaux d'événements Windows. Ouvrez un fichier .evtx — Security.evtx, System.evtx, Application.evtx, les canaux Sysmon ou PowerShell — et lisez chaque enregistrement sans Event Viewer, sans rien installer et sans machine Windows.

L'analyse s'effectue entièrement côté client grâce à un analyseur Rust compilé en WebAssembly : vos journaux ne quittent jamais le navigateur. Filtrez par Event ID, fournisseur, canal ou horodatage, inspectez le XML brut des événements, et exportez les résultats en CSV, JSON ou XML en quelques clics. Vous pouvez désormais ouvrir plusieurs fichiers .evtx à la fois et les trier dans une vue unifiée.

Pour aller plus loin :EVTX en XMLEVTX en CSVEVTX en TXTEVTX en JSONEVTX sur Mac et Linuxevtx_dump en ligneOuvrir Security.evtxOuvrir System.evtxEncyclopédie des Event ID WindowsComparatif des outils EVTX

FAQ journaux d'événements

Qu'est-ce qu'un fichier EVTX ?
EVTX est le format binaire du journal d'événements Windows introduit avec Windows Vista. Chaque fichier .evtx est une suite de blocs de 64 Ko ; chaque bloc contient une table de modèles XML suivie d'un flux d'enregistrements qui y font référence. L'analyse reconstitue le XML complet de chaque événement.
Où se trouvent les fichiers .evtx sous Windows ?
Les journaux actifs se trouvent sous C:\Windows\System32\winevt\Logs. Les trois principaux en forensique sont Security.evtx (connexions, privilèges), System.evtx (pilotes, services) et Application.evtx (erreurs applicatives). Les canaux Sysmon et PowerShell sont généralement les plus précieux en réponse à incident.
Cet outil envoie-t-il mes .evtx quelque part ?
Non. L'analyse s'effectue dans un Web Worker via un parseur EVTX en Rust compilé en WebAssembly. Le fichier est chargé en mémoire dans le navigateur et n'est jamais transmis. Coupez le réseau si vous souhaitez le vérifier.
Peut-on exécuter des règles Sigma sur des fichiers .evtx ?
Oui. L'onglet Sigma exécute environ 2 400 règles Windows de SigmaHQ (une version figée, intégrée au site) sur les événements chargés, dans le Web Worker du navigateur — comme Hayabusa ou Chainsaw, sans rien installer. Les règles de création de processus s'appliquent à Sysmon (Event ID 1) comme à Security 4688. Vous pouvez aussi coller ou déposer vos propres règles Sigma en YAML : elles sont validées et exécutées localement, jamais envoyées. Les détections et les exports CSV/JSON citent l'auteur de chaque règle, comme l'exige la Detection Rule License 1.1.
Que signifie la colonne Niveau ?
Les niveaux EVTX sont numériques : 1 Critique, 2 Erreur, 3 Avertissement, 4 Information, 5 Détaillé. Microsoft place certains ID classiques (ex. Security 4625 = échec d'authentification au niveau Information) — la gravité seule n'est pas un signal de tri.
Les fichiers .evtx volumineux sont-ils gérés ?
L'analyse tourne dans un Web Worker. La mémoire croît avec la taille du fichier ; quelques centaines de Mo passent facilement dans un navigateur moderne. Pour les collections plus grosses, exportez avec evtx_dump et chargez par tranches.

Votre prochaine investigation commence par un glisser-déposer.

Gratuit, open source et privé par conception. Sans compte, sans envoi, sans installation.

Voir sur GitHub