EVTX parser — visualizador de logs de eventos Windows no navegador
Solte um log de eventos .evtx do Windows. A análise roda inteiramente no navegador via WebAssembly — nada é enviado.
Como obter seus arquivos .evtx
Nunca extraiu logs de eventos de uma máquina Windows? Escolha o primeiro método que funcionar para você: leva um minuto.
- Colete os arquivos .evtx
- Solte-os aqui (vários de uma vez, sem problema)
- Tudo fica no seu navegador
Execute como administrador na máquina Windows (clique com o botão direito no PowerShell ou no Prompt de Comando → Executar como administrador). Ler o log de Segurança exige direitos de administrador.
Exporte os logs principais de uma vez
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }Grava os logs Security, System, Application, PowerShell e Sysmon em C:\triage\. Se um log não existir na máquina (por ex. Sysmon não instalado), só aparece um erro: ignore. Depois solte aqui os arquivos de C:\triage\.
Só o log de Segurança
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:trueSem linha de comando? Use o Visualizador de Eventos
Execute eventvwr.msc → Logs do Windows → clique com o botão direito em Segurança (ou outro log) → "Salvar Todos os Eventos Como…" (Save All Events As…) → mantenha o tipo "Arquivos de Evento (*.evtx)" → Salvar.
Execute como administrador. KAPE e Velociraptor são downloads gratuitos à parte, nas páginas oficiais dos projetos. Eles também pegam os arquivos arquivados Archive-*.evtx que uma exportação ignora.
KAPE — target EventLogs
kape.exe --tsource C: --target EventLogs --tdest C:\triageCopia todos os .evtx de winevt\Logs para dentro de C:\triage\, mantendo a estrutura de pastas original. Abra essa pasta Logs, selecione todos os .evtx e solte-os aqui.
Velociraptor — coletor offline
Na interface do Velociraptor: Server Artifacts → Build offline collector → selecione Windows.Triage.Targets (do projeto Velociraptor Triage) → marque o target EventLogs → gere o coletor e execute-o no host como administrador. Ele gera um ZIP da coleta. Descompacte antes: os .evtx ficam na pasta winevt/Logs dentro do arquivo.
Versões antigas do Velociraptor — linha de comando
mkdir C:\triage 2>nul & velociraptor.exe artifacts collect Windows.KapeFiles.Targets --args EventLogs=Y --output C:\triage\evtx.zipApenas para versões que ainda trazem Windows.KapeFiles.Targets, o nome anterior do artefato de triagem. Coleta o target EventLogs em C:\triage\evtx.zip; use o nome do seu executável do Velociraptor. Descompacte antes: os .evtx ficam na pasta winevt/Logs dentro do arquivo.
Já tem uma imagem E01/raw ou uma cópia do disco? Extraia os arquivos de \Windows\System32\winevt\Logs\ da partição do Windows: sem direitos de administrador nem máquina ligada.
FTK Imager
File → Add Evidence Item → Image File → navegue até [root]\Windows\System32\winevt\Logs → selecione os .evtx → botão direito → Export Files.
Imagem montada (Linux / macOS)
mkdir -p ~/triage && cp /mnt/win/Windows/System32/winevt/Logs/*.evtx ~/triage/Pressupõe a partição do Windows montada somente leitura em /mnt/win (por ex. ewfmount + mount -o ro, ou Arsenal Image Mounter no Windows): ajuste o caminho ao seu ponto de montagem.
Cada canal do log de eventos é um arquivo .evtx separado, todos na mesma pasta (Windows Vista / Server 2008 e posteriores):
C:\Windows\System32\winevt\Logs\- Arquivos principais:
Security.evtx,System.evtx,Application.evtx; a/no nome de um canal vira%4, por ex.Microsoft-Windows-Sysmon%4Operational.evtx. Cada arquivo é autônomo, sem arquivos complementares. Solte vários e eles são mesclados em uma única linha do tempo. - Logs rotacionados ficam ao lado como
Archive-Security-<carimbo de data/hora>.evtxquando o backup automático está ativo: solte-os também.
Log movido? Confira o caminho real (logFileName)
wevtutil gl SecurityArmadilhas
- Uma cópia simples de um log ativo falha porque o Windows o mantém aberto: use um dos métodos acima, não o Explorador nem
copy. - Os logs são circulares: quando cheios, os eventos mais antigos são sobrescritos (o tamanho padrão costuma ser de só 20 MB). Colete cedo e pegue também os
Archive-*.evtx:wevtutil eplexporta só o log ativo. - Solte arquivos .evtx, não um .zip nem uma pasta: descompacte antes e selecione todos os .evtx. Os horários aparecem em UTC por padrão (alterne para o horário local no visualizador).
- Security
- System
- Sysmon
- PowerShell
- RDP
- Defender
- Task Scheduler
- WMI
- Application
O que é um arquivo EVTX?
Um arquivo .evtx é um log de eventos do Windows — o formato binário que o Windows usa desde o Vista para registrar eventos de segurança, sistema e aplicativos. Ficam em C:\Windows\System32\winevt\Logs (Security.evtx, System.evtx, Application.evtx…) e não são texto puro, então o Bloco de Notas não consegue lê-los. Solte um acima para visualizá-lo. Guia completo do formato EVTX →
Do .evtx bruto a achados em minutos
Tudo o que um analista DFIR precisa, sem instalar o Visualizador de Eventos, Python ou um SIEM.
Hunts e regras Sigma ao abrir
86 hunts integrados e 2395 regras Sigma do SigmaHQ — Kerberoasting, limpeza de logs, cradles de PowerShell, novos serviços, força bruta — rodam assim que o arquivo carrega.
Uma linguagem de consulta de analista
Campo:valor, curingas, aspas e negação em todos os campos EventData, com facetas instantâneas e ordenação por valores raros.
Pivôs em um clique
Vá de qualquer evento para o mesmo Logon ID, GUID de processo, processo pai ou uma janela de ±5 minutos.
Sessões de logon reconstruídas
Quem fez logon, como, de onde, com quais privilégios e o que fez — de 4624 a 4634, uma linha por sessão.
Notas e relatório Markdown
Marque e anote eventos, exporte um relatório limpo ou compartilhe uma visão filtrada por link.
Offline e open source
Roda isolado no Docker, Elastic License 2.0, parser em Rust auditável no GitHub.
$ docker run --rm -p 3000:3000 evtx-parser
- regras de hunting integradas
- 86
- bytes enviados
- 0
- parser compilado para WebAssembly
- Rust
- idiomas
- 8
Onde encontrar os arquivos .evtx
No sistema de origem, cada canal do log de eventos é um arquivo .evtx separado, todos na mesma pasta. Os caminhos assumem a pasta padrão do Windows, C:\Windows (%SystemRoot%).
- Pasta de logs — todos os canaisWindows Vista / Server 2008+
C:\Windows\System32\winevt\Logs\ - Security
C:\Windows\System32\winevt\Logs\Security.evtx - System
C:\Windows\System32\winevt\Logs\System.evtx - Application
C:\Windows\System32\winevt\Logs\Application.evtx - Sysmon
C:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx - PowerShell (4103/4104)
C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx - Windows PowerShell (400/600/800)
C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx - RDP — LocalSessionManager
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx - RDP — RemoteConnectionManager
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx - Task Scheduler
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx - Defender
C:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx - Logs arquivados (Archive-<canal>-<timestamp>.evtx, se o arquivamento automático estiver ativo)
C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx - Formato legado .evt (também AppEvent.Evt, SysEvent.Evt) — não suportado aquiWindows XP / Server 2003
C:\Windows\System32\config\SecEvent.Evt
Como obter
- O serviço EventLog mantém os logs ativos abertos, então uma cópia comum falha. Num shell de administrador,
wevtutil epl Security C:\triage\Security.evtxexporta uma cópia limpa (apenas o log ativo — arquivos Archive-* ficam de fora). - Para copiar a pasta inteira como está: KAPE (
--target EventLogs), FTK Imager ou RawCopy — ou leia offline a partir de uma imagem E01 montada ou de uma cópia de sombra de volume (VSS). - Cada .evtx é autocontido, sem arquivos complementares. Um canal pode estar redirecionado: confirme o caminho real com
wevtutil gl <canal>(logFileName).
Guias em destaque
- Event ID Windows 4624: decodificando cada logon bem-sucedidoO que um registro 4624 realmente contém, por que o campo LogonType importa mais que o próprio evento, e como lê-los em escala.
- Event ID 4688 explicado: auditoria de criação de processos do Windows para DFIRO 4688 é o registo de criação de processo do SO base, desde que a auditoria de linha de comandos esteja ligada. Eis o que contém, em que difere do Sysmon 1 e os padrões de triagem que valem o seu lugar.
- Event ID 4769 explicado: tickets de serviço Kerberos e kerberoastingO 4769 é o registo do DC de cada pedido de service ticket. Lê-lo pelo tipo de encriptação e revela kerberoasting. Lê-lo com o 4768 e revela pass-the-ticket.
- Formato do ficheiro EVTX explicado: chunks, templates e internals do BinXMLComo um ficheiro .evtx está organizado ao nível dos bytes: cabeçalho de ficheiro, chunks de 64 KB, a tabela de templates e o stream de registos BinXML que a referencia.
Um visualizador de EVTX online e gratuito que roda no seu navegador
O EVTX parser é um visualizador de EVTX online e um analisador de logs de eventos do Windows. Abra um arquivo .evtx — Security.evtx, System.evtx, Application.evtx, canais do Sysmon ou do PowerShell — e leia cada registro sem o Event Viewer, sem instalar nada e sem um host Windows.
A análise é executada inteiramente no lado do cliente por meio de um parser Rust compilado para WebAssembly, de modo que seus logs nunca saem do navegador. Filtre por Event ID, provedor, canal ou horário, inspecione o XML bruto dos eventos e exporte os resultados para CSV, JSON ou XML com alguns cliques. Agora você pode abrir vários arquivos .evtx ao mesmo tempo e triá-los em uma visão combinada.
Continue lendo:EVTX para XMLEVTX para CSVEVTX para TXTEVTX para JSONEVTX no Mac e Linuxevtx_dump onlineAbrir Security.evtxAbrir System.evtxEnciclopédia de Event ID do WindowsFerramentas EVTX comparadas
Ferramentas relacionadas
FAQ logs de eventos
- O que é um arquivo EVTX?
- EVTX é o formato binário do log de eventos do Windows introduzido no Windows Vista. Cada .evtx é uma sequência de blocos de 64 KB; cada bloco contém uma tabela de templates XML e um fluxo de registros que a referenciam. A análise reconstrói o XML completo de cada evento.
- Onde encontro .evtx no Windows?
- Os logs ativos ficam em C:\Windows\System32\winevt\Logs. Os três principais para forense são Security.evtx (logons, privilégios), System.evtx (drivers, serviços) e Application.evtx (erros de aplicação). Os canais Sysmon e PowerShell costumam ser os mais valiosos em resposta a incidentes.
- Esta ferramenta envia meu .evtx para algum lugar?
- Não. A análise acontece em um Web Worker usando um parser EVTX em Rust compilado para WebAssembly. O arquivo é lido na memória do navegador e nunca transmitido. Desligue a rede se quiser verificar.
- Dá para executar regras Sigma em arquivos .evtx?
- Sim. A aba Sigma executa cerca de 2.400 regras Windows do SigmaHQ (uma versão fixada, incluída no site) nos eventos carregados, dentro do Web Worker do navegador — como Hayabusa ou Chainsaw, sem instalar nada. As regras de criação de processos valem tanto para o Sysmon (Event ID 1) quanto para o Security 4688. Você também pode colar ou soltar suas próprias regras Sigma em YAML: elas são validadas e executadas localmente, nunca enviadas. As detecções e as exportações CSV/JSON citam o autor de cada regra, como exige a Detection Rule License 1.1.
- O que significa a coluna Nível?
- Os níveis EVTX são numéricos: 1 Crítico, 2 Erro, 3 Aviso, 4 Informação, 5 Detalhado. A Microsoft atribui alguns IDs conhecidos (ex.: Security 4625 = falha de autenticação no nível Informação) — só a severidade não basta para triagem.
- Aguenta arquivos .evtx muito grandes?
- A análise roda em um Web Worker. A memória escala com o tamanho; algumas centenas de MB são confortáveis em navegadores modernos. Para coleções maiores, exporte com evtx_dump e recarregue em partes.
Sua próxima investigação começa com um arrastar e soltar.
Gratuito, open source e privado por design. Sem conta, sem upload, sem instalação.