Qu'est-ce qu'evtx_dump ?

evtx_dump est le CLI fourni avec le crate Rust omerbenamram/evtx. Il lit un fichier Windows .evtx et affiche chaque enregistrement en XML, JSON ou JSON Lines, en utilisant plusieurs threads. Il est sous licence MIT/Apache et fonctionne sur Windows, macOS et Linux.

Ce site est-il vraiment le même analyseur qu'evtx_dump ?

Oui. Le cœur d'analyse est le crate evtx compilé en WebAssembly, donc les enregistrements sont reconstruits de la même manière. La différence, c'est l'interface : une UI de navigateur avec filtres et exports au lieu d'une ligne de commande.

evtx_dump vs. python-evtx vs. EvtxECmd ?

evtx_dump (Rust) est le plus rapide et produit du XML/JSON. python-evtx est pratique dans des scripts Python mais bien plus lent. EvtxECmd (Eric Zimmerman) normalise les événements en CSV/JSON avec des mappings par Event ID et est populaire dans les workflows DFIR centrés sur Windows.

evtx_dump peut-il lire des fichiers EVTX corrompus ou partiels ?

Il tolère les chunks endommagés et ignore les enregistrements qu'il ne peut pas analyser au lieu d'échouer complètement. Pour extraire des enregistrements depuis de l'espace non alloué, consultez notre guide sur la récupération d'enregistrements EVTX supprimés.

evtx_dump en ligne : analyser un EVTX sans rien installer

evtx_dump est l'outil en ligne de commande d'omerbenamram/evtx, l'analyseur Rust rapide pour les journaux d'événements Windows .evtx. EVTX parser est ce même analyseur compilé en WebAssembly, vous obtenez donc la sortie d'evtx_dump dans un onglet de navigateur — sans toolchain Rust, sans téléchargement de binaire, et le fichier n'est jamais envoyé.

Ouvrir evtx_dump dans le navigateur ↗

Usage d'evtx_dump

Installation

Téléchargez un binaire prêt à l'emploi pour Windows, macOS ou Linux depuis les releases GitHub du projet, ou compilez-le avec Cargo.

cargo install evtx

Analyser vers XML (par défaut)

Sans option, evtx_dump affiche chaque enregistrement en XML, la même structure que la vue XML de l'Observateur d'événements.

evtx_dump Security.evtx > security.xml

Analyser vers JSON ou JSON Lines

-o json affiche des enregistrements JSON ; -o jsonl affiche un objet JSON par ligne, ce que jq, Elastic et la plupart des outils de chargement en masse attendent.

evtx_dump -o jsonl Security.evtx > security.jsonl

evtx_dump vs. ce site

Utilisez evtx_dump pour le scripting, les très grandes collections et plusieurs hôtes à la fois. Utilisez la version navigateur pour le tri ponctuel : vous obtenez le filtrage, une répartition par Event ID, une chronologie, des détections intégrées et un export CSV, TXT, JSON ou XML sans rien installer.

Comment utiliser evtx_dump dans le navigateur

1
Ouvrir EVTX parserOuvrez la page d'accueil. La version WebAssembly du crate evtx se charge dans un Web Worker.
2
Déposez vos fichiers .evtxGlissez un ou plusieurs fichiers .evtx dans la zone de dépôt. Ils sont analysés localement, enregistrement par enregistrement, exactement comme le ferait evtx_dump.
3
Inspecter ou exporterFiltrez et inspectez le XML reconstruit de chaque événement, puis exportez en JSON, CSV, TXT ou XML.

FAQ evtx_dump

Qu'est-ce qu'evtx_dump ?: evtx_dump est le CLI fourni avec le crate Rust omerbenamram/evtx. Il lit un fichier Windows .evtx et affiche chaque enregistrement en XML, JSON ou JSON Lines, en utilisant plusieurs threads. Il est sous licence MIT/Apache et fonctionne sur Windows, macOS et Linux.
Ce site est-il vraiment le même analyseur qu'evtx_dump ?: Oui. Le cœur d'analyse est le crate evtx compilé en WebAssembly, donc les enregistrements sont reconstruits de la même manière. La différence, c'est l'interface : une UI de navigateur avec filtres et exports au lieu d'une ligne de commande.
evtx_dump vs. python-evtx vs. EvtxECmd ?: evtx_dump (Rust) est le plus rapide et produit du XML/JSON. python-evtx est pratique dans des scripts Python mais bien plus lent. EvtxECmd (Eric Zimmerman) normalise les événements en CSV/JSON avec des mappings par Event ID et est populaire dans les workflows DFIR centrés sur Windows.
evtx_dump peut-il lire des fichiers EVTX corrompus ou partiels ?: Il tolère les chunks endommagés et ignore les enregistrements qu'il ne peut pas analyser au lieu d'échouer complètement. Pour extraire des enregistrements depuis de l'espace non alloué, consultez notre guide sur la récupération d'enregistrements EVTX supprimés.