Puis-je ouvrir un fichier EVTX sur un Mac ?

Oui. macOS n'a pas de lecteur intégré pour les journaux d'événements Windows, mais un lecteur dans le navigateur comme celui-ci ou un analyseur en ligne de commande comme evtx_dump lit le fichier directement. Aucune machine virtuelle Windows n'est nécessaire.

Comment ouvrir un fichier EVTX sous Linux ?

Ouvrez-le dans ce lecteur dans le navigateur, ou utilisez evtx_dump ou python-evtx depuis un terminal. Les trois analysent le format binaire nativement sous Linux.

Verrai-je le même texte de message que dans l'Observateur d'événements ?

Vous voyez chaque champ structuré de chaque événement. La phrase de message conviviale est générée sous Windows à partir de DLL de fournisseur qui ne font pas partie du .evtx, donc aucun outil macOS ou Linux ne peut la reproduire exactement.

Est-il sûr d'ouvrir des journaux sensibles dans un navigateur ?

Avec ce lecteur, oui : le fichier est analysé dans l'onglet de votre navigateur et n'est jamais envoyé nulle part. Vous pouvez vous déconnecter du réseau après le chargement de la page pour le vérifier.

Ouvrir des fichiers EVTX sur Mac et Linux

L'Observateur d'événements n'existe que sous Windows, mais les fichiers .evtx se retrouvent souvent sur un Mac ou une machine d'analyse Linux. L'option la plus rapide est ce lecteur EVTX dans le navigateur : il fonctionne dans Safari, Chrome ou Firefox sur n'importe quel OS, analyse le fichier localement avec WebAssembly et ne l'envoie jamais.

Ouvrir le lecteur EVTX ↗

Vos options sur macOS et Linux

Dans le navigateur (sans installation)

Déposez le .evtx sur la page d'accueil d'EVTX parser. Vous obtenez un tableau consultable, une répartition par Event ID, une chronologie, des détections intégrées et un export CSV, TXT, JSON ou XML. Cela fonctionne de la même façon sur macOS, Linux et ChromeOS.

evtx_dump (CLI Rust)

L'analyseur en ligne de commande le plus rapide, avec des binaires précompilés pour macOS et Linux. Produit du XML, du JSON ou du JSON Lines.

evtx_dump -o jsonl Security.evtx | jq 'select(.Event.System.EventID == 4624)'

python-evtx

Une bibliothèque et un script purement Python, pratiques dans des notebooks et avec l'outillage Python existant. Plus lent que l'analyseur Rust sur de gros journaux.

pip install python-evtx
evtx_dump.py Security.evtx > security.xml

Chainsaw ou Hayabusa

Des outils de chasse multiplateformes qui exécutent des règles Sigma sur un dossier de fichiers .evtx. Utilisez-les pour obtenir des détections sur de nombreux journaux plutôt que pour parcourir un seul fichier.

Comment ouvrir un fichier EVTX sur un Mac

1
Copiez le .evtx depuis l'hôte WindowsLes journaux se trouvent dans C:\Windows\System32\winevt\Logs. Copiez les fichiers dont vous avez besoin (Security.evtx, System.evtx…) ou exportez-les depuis l'Observateur d'événements avec « Enregistrer tous les événements sous ».
2
Ouvrez EVTX parser dans votre navigateurSafari, Chrome et Firefox fonctionnent tous. L'analyseur se charge une fois puis s'exécute hors ligne.
3
Déposez le fichier et explorezGlissez le .evtx sur la page. Filtrez par Event ID, utilisateur ou heure, ouvrez le XML brut de n'importe quel événement, et exportez ce dont vous avez besoin.

FAQ EVTX sur Mac et Linux

Puis-je ouvrir un fichier EVTX sur un Mac ?: Oui. macOS n'a pas de lecteur intégré pour les journaux d'événements Windows, mais un lecteur dans le navigateur comme celui-ci ou un analyseur en ligne de commande comme evtx_dump lit le fichier directement. Aucune machine virtuelle Windows n'est nécessaire.
Comment ouvrir un fichier EVTX sous Linux ?: Ouvrez-le dans ce lecteur dans le navigateur, ou utilisez evtx_dump ou python-evtx depuis un terminal. Les trois analysent le format binaire nativement sous Linux.
Verrai-je le même texte de message que dans l'Observateur d'événements ?: Vous voyez chaque champ structuré de chaque événement. La phrase de message conviviale est générée sous Windows à partir de DLL de fournisseur qui ne font pas partie du .evtx, donc aucun outil macOS ou Linux ne peut la reproduire exactement.
Est-il sûr d'ouvrir des journaux sensibles dans un navigateur ?: Avec ce lecteur, oui : le fichier est analysé dans l'onglet de votre navigateur et n'est jamais envoyé nulle part. Vous pouvez vous déconnecter du réseau après le chargement de la page pour le vérifier.