Posso abrir um arquivo EVTX em um Mac?

Sim. O macOS não tem um visualizador integrado para logs de eventos do Windows, mas um visualizador no navegador como este ou um analisador de linha de comando como o evtx_dump lê o arquivo diretamente. Nenhuma máquina virtual Windows é necessária.

Como abro um arquivo EVTX no Linux?

Abra-o neste visualizador no navegador, ou use evtx_dump ou python-evtx a partir de um terminal. Os três analisam o formato binário nativamente no Linux.

Verei o mesmo texto de mensagem que o Visualizador de Eventos?

Você vê todos os campos estruturados de cada evento. A frase de mensagem amigável é renderizada no Windows a partir de DLLs de provedor que não fazem parte do .evtx, então nenhuma ferramenta macOS ou Linux pode reproduzi-la exatamente.

É seguro abrir logs sensíveis em um navegador?

Com este visualizador, sim: o arquivo é analisado dentro da aba do seu navegador e nunca é enviado a lugar nenhum. Você pode se desconectar da rede depois que a página carregar para confirmar isso.

Abrir arquivos EVTX no Mac e no Linux

O Visualizador de Eventos só existe no Windows, mas os arquivos .evtx frequentemente acabam em um Mac ou em uma máquina de análise Linux. A opção mais rápida é este visualizador de EVTX no navegador: ele roda no Safari, Chrome ou Firefox em qualquer sistema operacional, analisa o arquivo localmente com WebAssembly e nunca o envia.

Abrir o visualizador de EVTX ↗

Suas opções no macOS e no Linux

No navegador (sem instalação)

Solte o .evtx na página inicial do EVTX parser. Você obtém uma tabela pesquisável, uma repartição por Event ID, uma linha do tempo, detecções integradas e exportação para CSV, TXT, JSON ou XML. Funciona da mesma forma no macOS, Linux e ChromeOS.

evtx_dump (CLI em Rust)

O analisador de linha de comando mais rápido, com binários pré-compilados para macOS e Linux. Gera XML, JSON ou JSON Lines.

evtx_dump -o jsonl Security.evtx | jq 'select(.Event.System.EventID == 4624)'

python-evtx

Uma biblioteca e um script em Python puro, úteis em notebooks e em ferramentas Python já existentes. Mais lento que o analisador em Rust em logs grandes.

pip install python-evtx
evtx_dump.py Security.evtx > security.xml

Chainsaw ou Hayabusa

Ferramentas de hunting multiplataforma que executam regras Sigma sobre uma pasta de arquivos .evtx. Use-as quando quiser detecções em muitos logs em vez de navegar por apenas um.

Como abrir um arquivo EVTX em um Mac

1
Copie o .evtx do host WindowsOs logs ficam em C:\Windows\System32\winevt\Logs. Copie os arquivos de que precisa (Security.evtx, System.evtx…) ou exporte-os do Visualizador de Eventos com «Salvar Todos os Eventos Como».
2
Abra o EVTX parser no seu navegadorSafari, Chrome e Firefox funcionam todos. O analisador é carregado uma vez e depois roda offline.
3
Solte o arquivo e exploreArraste o .evtx para a página. Filtre por Event ID, usuário ou horário, abra o XML bruto de qualquer evento e exporte o que precisar.

Perguntas frequentes sobre EVTX no Mac e no Linux

Posso abrir um arquivo EVTX em um Mac?: Sim. O macOS não tem um visualizador integrado para logs de eventos do Windows, mas um visualizador no navegador como este ou um analisador de linha de comando como o evtx_dump lê o arquivo diretamente. Nenhuma máquina virtual Windows é necessária.
Como abro um arquivo EVTX no Linux?: Abra-o neste visualizador no navegador, ou use evtx_dump ou python-evtx a partir de um terminal. Os três analisam o formato binário nativamente no Linux.
Verei o mesmo texto de mensagem que o Visualizador de Eventos?: Você vê todos os campos estruturados de cada evento. A frase de mensagem amigável é renderizada no Windows a partir de DLLs de provedor que não fazem parte do .evtx, então nenhuma ferramenta macOS ou Linux pode reproduzi-la exatamente.
É seguro abrir logs sensíveis em um navegador?: Com este visualizador, sim: o arquivo é analisado dentro da aba do seu navegador e nunca é enviado a lugar nenhum. Você pode se desconectar da rede depois que a página carregar para confirmar isso.