Skip to content
evtxparser
DFIRオープンソース · 100% ブラウザ内で動作

EVTX parser — ブラウザで動く Windows イベントログ ビューア

Windows の .evtx イベントログをドロップしてください。解析は WebAssembly でブラウザ内のみで実行され、アップロードは一切ありません。

.evtx ファイルの入手方法

Windows からイベントログを取り出したことがなくても大丈夫。使えそうな最初の方法を選べば、1 分ほどで済みます。

  1. .evtx ファイルを収集
  2. ここにドロップ (複数同時も可)
  3. すべてブラウザー内で完結

Windows ホスト上で管理者として実行してください (PowerShell またはコマンド プロンプトを右クリック → 管理者として実行)。セキュリティ ログの読み取りには管理者権限が必要です。

主要なログを一括エクスポート

PowerShell (Admin)
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }

Security、System、Application、PowerShell、Sysmon の各ログを C:\triage\ に書き出します。ホストに存在しないログ (Sysmon 未導入など) はエラーが表示されるだけなので無視してください。その後 C:\triage\ のファイルをここにドロップします。

セキュリティ ログのみ

cmd (Admin)
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:true

コマンドラインを使わない場合: イベント ビューアー

eventvwr.msc を実行 → Windows ログ → セキュリティ (または任意のログ) を右クリック → 「すべてのイベントを名前をつけて保存」(Save All Events As…) → ファイルの種類は「イベント ファイル (*.evtx)」のまま → 保存。

よくある落とし穴

  • 稼働中のログは Windows が開いたままにしているため、単純なコピーは失敗します。エクスプローラーや copy ではなく上記のいずれかの方法を使ってください。
  • ログは循環式です。上限に達すると古いイベントから上書きされます (既定サイズはわずか 20 MB のことが多い)。早めに収集し、Archive-*.evtx も取得してください。wevtutil epl がエクスポートするのはアクティブなログのみです。
  • ドロップするのは .evtx ファイルです。.zip やフォルダーは不可なので、先に展開してから .evtx をすべて選択してください。時刻は既定で UTC 表示です (ビューアーでローカル時刻に切り替え可能)。
収集ガイド:4 つの方法を比較 →
収集したあらゆるチャネルを読み込み
  • Security
  • System
  • Sysmon
  • PowerShell
  • RDP
  • Defender
  • Task Scheduler
  • WMI
  • Application

EVTX ファイルとは？

.evtx ファイルは Windows のイベントログです。Vista 以降の Windows がセキュリティ・システム・アプリケーションのイベントを記録するバイナリ形式で、C:\Windows\System32\winevt\Logs（Security.evtx、System.evtx、Application.evtx など）に保存されます。テキストではないためメモ帳では読めません。上にドロップすると内容を表示できます。 EVTX 形式の詳しいガイド →

インシデントレスポンスのために

生の .evtx から数分で調査結果へ

イベントビューアー、Python、SIEM をインストールせずに、DFIR アナリストに必要なすべてを。

  • 開いた瞬間にハントと Sigma

    Kerberoasting、ログ消去、PowerShell ダウンロードクレードル、新規サービス、ブルートフォースなど、86 の組み込みハントと 2395 件の SigmaHQ Sigma ルールがロード直後に実行されます。

  • アナリストのためのクエリ言語

    フィールド:値、ワイルドカード、引用符、否定をすべての EventData フィールドで。ファセットと希少値ソートも即座に。

  • ワンクリックのピボット

    任意のイベントから同じログオン ID、プロセス GUID、親プロセス、または ±5 分の範囲へ移動。

  • ログオンセッションを再構成

    誰が、どのように、どこから、どの特権でログオンし何をしたか — 4624 から 4634 まで、1 セッション 1 行で。

  • メモと Markdown レポート

    イベントをブックマーク・注釈し、整ったレポートを出力、またはフィルタ済みビューをリンクで共有。

  • オフライン & オープンソース

    Docker でエアギャップ運用可能、Elastic License 2.0、GitHub で監査できる Rust パーサー。

    $ docker run --rm -p 3000:3000 evtx-parser
個の組み込みハントルール
86
バイトのアップロード
0
WebAssembly にコンパイルされたパーサー
Rust
言語対応
8

.evtx ファイルの場所

対象ホストでは、イベントログのチャネルごとに個別の .evtx ファイルが 1 つのフォルダーにまとまっています。パスは既定の Windows フォルダー C:\Windows（%SystemRoot%）を前提としています。

  • ログフォルダー — 全チャネルWindows Vista / Server 2008 以降C:\Windows\System32\winevt\Logs\
  • SecurityC:\Windows\System32\winevt\Logs\Security.evtx
  • SystemC:\Windows\System32\winevt\Logs\System.evtx
  • ApplicationC:\Windows\System32\winevt\Logs\Application.evtx
  • SysmonC:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
  • PowerShell (4103/4104)C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx
  • Windows PowerShell (400/600/800)C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx
  • RDP — LocalSessionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
  • RDP — RemoteConnectionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
  • Task SchedulerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx
  • DefenderC:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx
  • アーカイブ済みログ(自動バックアップ有効時の Archive-<チャネル>-<タイムスタンプ>.evtx)C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx
  • 旧形式 .evt(AppEvent.Evt、SysEvent.Evt も)— 本ツールは非対応Windows XP / Server 2003C:\Windows\System32\config\SecEvent.Evt

取得方法

  • EventLog サービスが稼働中のログを開いたままにするため、通常のコピーは失敗します。管理者シェルで wevtutil epl Security C:\triage\Security.evtx を実行するとクリーンなコピーをエクスポートできます(アクティブなログのみ。Archive-* ファイルは含まれません)。
  • フォルダーをそのまま取得するには KAPE(--target EventLogs)、FTK Imager、RawCopy を使うか、マウントした E01 イメージやボリュームシャドウコピー(VSS)からオフラインで読み出します。
  • 各 .evtx は単体で完結しており、付随ファイルは不要です。チャネルの保存先が変更されている場合があるため、wevtutil gl <チャネル>(logFileName)で実際のパスを確認してください。
収集ガイド:4 つの方法を比較 →
DFIR

おすすめガイド

ブラウザ上で動作する無料のオンラインEVTXビューア

EVTX parser は、オンラインのEVTXビューア兼Windowsイベントログ解析ツールです。.evtxファイル（Security.evtx、System.evtx、Application.evtx、Sysmon や PowerShell のチャネル）を開き、Event Viewer を使わず、何もインストールせず、Windows ホストも不要で、すべてのレコードを読めます。

解析は WebAssembly にコンパイルされた Rust パーサーによって完全にクライアント側で実行されるため、ログがブラウザの外に出ることはありません。Event ID、プロバイダー、チャネル、時刻でフィルタリングし、イベントの生のXMLを確認して、数クリックで結果を CSV、JSON、XML にエクスポートできます。複数の .evtx ファイルを同時に開き、ひとつの統合ビューでトリアージできるようになりました。

さらに読む：EVTX を XML に変換EVTX を CSV に変換EVTX を TXT に変換EVTX を JSON に変換Mac・Linux で EVTX を開くevtx_dump オンラインSecurity.evtx を開くSystem.evtx を開くWindows イベント ID 事典EVTX ツール比較

イベントログ FAQ

EVTX ファイルとは?
EVTX は Windows Vista で導入されたバイナリ形式の Windows イベントログです。各 .evtx ファイルは 64 KB のチャンクが連なった構造で、各チャンクは XML テンプレートのテーブルとそれを参照するレコード列で構成されます。解析するとイベントごとの完全な XML が再構築されます。
Windows のどこに .evtx がありますか?
稼働中のログは C:\Windows\System32\winevt\Logs にあります。フォレンジックで重要な 3 つは Security.evtx(ログオン、特権使用)、System.evtx(ドライバ、サービス)、Application.evtx(アプリ エラー)です。インシデント対応では Sysmon と PowerShell のチャネルが最も価値を持つことが多いです。
このツールは私の .evtx をどこかへ送りますか?
いいえ。解析は WebAssembly にコンパイルされた Rust 製の EVTX パーサーを Web Worker 上で実行します。ファイルはブラウザのメモリ上で読み込まれるだけで送信されません。確認したい場合はネットワークを切断してください。
.evtx ファイルに Sigma ルールを実行できますか？
はい。Sigma タブでは、サイトに同梱した固定リリースの SigmaHQ Windows ルール約 2,400 件を、読み込んだイベントに対してブラウザーの Web Worker 内で実行します。Hayabusa や Chainsaw と同様ですが、インストールは不要です。プロセス作成ルールは Sysmon のイベント ID 1 と Security の 4688 の両方に適用されます。独自の Sigma YAML ルールを貼り付けたりドロップしたりすることもでき、ローカルで検証・実行され、アップロードされることはありません。一致結果と CSV/JSON エクスポートには、Detection Rule License 1.1 の要件どおり各ルールの作成者を記載します。
レベル列は何を意味しますか?
EVTX のレベルは数値です: 1 重大、2 エラー、3 警告、4 情報、5 詳細。Microsoft はよく知られた一部の ID をマッピングしています(例: Security 4625 = 認証失敗は「情報」レベル) — レベルだけでトリアージはできません。
巨大な .evtx でも解析できますか?
解析は Web Worker スレッドで実行されます。メモリ使用量はファイル サイズに比例します。最新のブラウザなら数百 MB は快適に扱えます。それ以上は evtx_dump で先にエクスポートし、分割して読み込んでください。

次の調査は、ドロップから始まる。

無料・オープンソース・設計からプライベート。アカウント不要、アップロードなし、インストール不要。

GitHub で見る