Skip to content
evtxparser
DFIROpen source · 100% nel tuo browser

EVTX parser — visualizzatore di log eventi Windows nel browser

Trascina un log eventi .evtx di Windows. L'analisi viene eseguita interamente nel browser via WebAssembly — non viene caricato nulla.

Come ottenere i tuoi file .evtx

Non hai mai estratto i registri eventi da un computer Windows? Scegli il primo metodo adatto a te: basta un minuto.

  1. Raccogli i file .evtx
  2. Rilasciali qui (anche più di uno alla volta)
  3. Tutto resta nel tuo browser

Esegui come amministratore sul computer Windows (clic destro su PowerShell o sul Prompt dei comandi → Esegui come amministratore). Per leggere il registro Sicurezza servono i diritti di amministratore.

Esporta i registri principali in un colpo solo

PowerShell (Admin)
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }

Salva i registri Security, System, Application, PowerShell e Sysmon in C:\triage\. Se un registro non esiste sul computer (ad es. Sysmon non installato) viene solo mostrato un errore: ignoralo. Poi rilascia qui i file di C:\triage\.

Solo il registro Sicurezza

cmd (Admin)
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:true

Niente riga di comando? Usa il Visualizzatore eventi

Avvia eventvwr.msc → Registri di Windows → clic destro su Sicurezza (o un altro registro) → «Salva tutti gli eventi con nome…» (Save All Events As…) → lascia il tipo «File di eventi (*.evtx)» → Salva.

Trappole comuni

  • Una semplice copia di un registro attivo fallisce perché Windows lo tiene aperto: usa uno dei metodi sopra, non Esplora file né copy.
  • I registri sono circolari: quando sono pieni, gli eventi più vecchi vengono sovrascritti (la dimensione predefinita è spesso di soli 20 MB). Raccogli presto e prendi anche gli Archive-*.evtx: wevtutil epl esporta solo il registro attivo.
  • Rilascia file .evtx, non uno .zip né una cartella: decomprimi prima, poi seleziona tutti i .evtx. Gli orari sono in UTC per impostazione predefinita (passa all'ora locale nel visualizzatore).
Guida alla raccolta: 4 metodi a confronto →
Legge ogni canale che raccogli
  • Security
  • System
  • Sysmon
  • PowerShell
  • RDP
  • Defender
  • Task Scheduler
  • WMI
  • Application

Cos'è un file EVTX?

Un file .evtx è un registro eventi di Windows — il formato binario che Windows usa da Vista per registrare eventi di sicurezza, di sistema e delle applicazioni. Si trovano in C:\Windows\System32\winevt\Logs (Security.evtx, System.evtx, Application.evtx…) e non sono testo semplice: il Blocco note non riesce a leggerli. Trascinane uno qui sopra per visualizzarlo. Guida completa al formato EVTX →

Pensato per l'incident response

Dal .evtx grezzo ai risultati in pochi minuti

Tutto ciò che serve a un analista DFIR, senza installare Visualizzatore eventi, Python o un SIEM.

  • Hunt e regole Sigma all'apertura

    86 hunt integrati e 2395 regole Sigma di SigmaHQ — Kerberoasting, cancellazione dei log, cradle PowerShell, nuovi servizi, brute force — partono appena il file è caricato.

  • Un linguaggio di query da analista

    Campo:valore, caratteri jolly, virgolette e negazione su ogni campo EventData, con facet istantanei e ordinamento per valori rari.

  • Pivot con un clic

    Passa da qualsiasi evento allo stesso Logon ID, GUID di processo, processo padre o a una finestra di ±5 minuti.

  • Sessioni di accesso ricostruite

    Chi ha effettuato l'accesso, come, da dove, con quali privilegi e cosa ha fatto — da 4624 a 4634, una riga per sessione.

  • Note e report Markdown

    Segna e annota eventi, esporta un report pulito o condividi una vista filtrata tramite link.

  • Offline e open source

    Funziona air-gapped in Docker, Elastic License 2.0, parser Rust verificabile su GitHub.

    $ docker run --rm -p 3000:3000 evtx-parser
regole di hunting integrate
86
byte caricati
0
parser compilato in WebAssembly
Rust
lingue
8

Dove trovare i file .evtx

Sul sistema di origine ogni canale del registro eventi è un file .evtx separato, tutti nella stessa cartella. I percorsi presuppongono la cartella di Windows predefinita, C:\Windows (%SystemRoot%).

  • Cartella dei log — tutti i canaliWindows Vista / Server 2008+C:\Windows\System32\winevt\Logs\
  • SecurityC:\Windows\System32\winevt\Logs\Security.evtx
  • SystemC:\Windows\System32\winevt\Logs\System.evtx
  • ApplicationC:\Windows\System32\winevt\Logs\Application.evtx
  • SysmonC:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
  • PowerShell (4103/4104)C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx
  • Windows PowerShell (400/600/800)C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx
  • RDP — LocalSessionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
  • RDP — RemoteConnectionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
  • Task SchedulerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx
  • DefenderC:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx
  • Log archiviati (Archive-<canale>-<timestamp>.evtx, se l'archiviazione automatica è attiva)C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx
  • Formato legacy .evt (anche AppEvent.Evt, SysEvent.Evt) — non supportato quiWindows XP / Server 2003C:\Windows\System32\config\SecEvent.Evt

Come ottenerlo

  • Il servizio EventLog tiene aperti i log attivi, quindi una copia normale fallisce. Da una shell amministratore, wevtutil epl Security C:\triage\Security.evtx esporta una copia pulita (solo il log attivo — i file Archive-* sono esclusi).
  • Per copiare l'intera cartella così com'è: KAPE (--target EventLogs), FTK Imager o RawCopy — oppure leggerla offline da un'immagine E01 montata o da una copia shadow del volume (VSS).
  • Ogni .evtx è autonomo, non servono file accessori. Un canale può essere reindirizzato: verificate il percorso reale con wevtutil gl <canale> (logFileName).
Guida alla raccolta: 4 metodi a confronto →
DFIR

Guide in evidenza

Un visualizzatore EVTX online e gratuito che gira nel tuo browser

EVTX parser è un visualizzatore EVTX online e un parser dei registri eventi di Windows. Apri un file .evtx — Security.evtx, System.evtx, Application.evtx, i canali Sysmon o PowerShell — e leggi ogni record senza Event Viewer, senza installare nulla e senza un host Windows.

Il parsing avviene interamente lato client tramite un parser Rust compilato in WebAssembly, quindi i tuoi log non lasciano mai il browser. Filtra per Event ID, provider, canale o orario, ispeziona l'XML grezzo degli eventi ed esporta i risultati in CSV, JSON o XML con un paio di clic. Ora puoi aprire più file .evtx contemporaneamente e analizzarli in una vista combinata.

Continua a leggere:EVTX in XMLEVTX in CSVEVTX in TXTEVTX in JSONEVTX su Mac e Linuxevtx_dump onlineAprire Security.evtxAprire System.evtxEnciclopedia degli Event ID di WindowsStrumenti EVTX a confronto

FAQ log eventi

Cos'è un file EVTX?
EVTX è il formato binario del log eventi di Windows introdotto con Windows Vista. Ogni .evtx è una sequenza di blocchi da 64 KB; ogni blocco contiene una tabella di template XML e un flusso di record che la referenziano. L'analisi ricostruisce l'XML completo di ogni evento.
Dove si trovano i .evtx su Windows?
I log attivi stanno in C:\Windows\System32\winevt\Logs. I tre principali in ambito forense sono Security.evtx (accessi, privilegi), System.evtx (driver, servizi) e Application.evtx (errori applicativi). I canali Sysmon e PowerShell sono di solito i più preziosi in incident response.
Questo strumento carica il mio .evtx da qualche parte?
No. L'analisi avviene in un Web Worker con un parser EVTX in Rust compilato in WebAssembly. Il file viene letto in memoria del browser e mai trasmesso. Disconnetti la rete per verificarlo.
Può eseguire regole Sigma sui file .evtx?
Sì. La scheda Sigma esegue circa 2.400 regole Windows di SigmaHQ (una release fissata e inclusa nel sito) sugli eventi caricati, nel Web Worker del browser: come Hayabusa o Chainsaw, senza installare nulla. Le regole di creazione dei processi valgono sia per Sysmon (Event ID 1) sia per Security 4688. Puoi anche incollare o trascinare le tue regole Sigma in YAML: vengono validate ed eseguite in locale, mai caricate online. I rilevamenti e le esportazioni CSV/JSON citano l'autore di ogni regola, come richiede la Detection Rule License 1.1.
Cosa significa la colonna Livello?
I livelli EVTX sono numerici: 1 Critico, 2 Errore, 3 Avviso, 4 Informazione, 5 Dettagliato. Microsoft colloca alcuni ID noti (es. Security 4625 = autenticazione fallita a livello Informazione) — la severità da sola non basta per il triage.
Riesce a gestire .evtx molto grandi?
L'analisi gira in un Web Worker. La memoria cresce con la dimensione del file; qualche centinaio di MB è comodo nei browser moderni. Per raccolte più grandi, esporta con evtx_dump e ricarica a tratti.

La tua prossima indagine inizia con un trascinamento.

Gratuito, open source e privato per progettazione. Nessun account, nessun upload, nessuna installazione.

Vedi su GitHub