Windows Event Log (EVTX)
| Format | Windows Event Log (EVTX) |
|---|---|
| Kurzname | EVTX |
| Kategorie | Log |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Strukturiertes Windows-Ereignisprotokollformat, verwendet seit Vista/Server 2008, gespeichert unter C:\Windows\System32\winevt\Logs\. Auf einen 4-KB-Datei-Header folgen 64-KB-Chunks ('ElfChnk') mit Ereignisdatensätzen in binärem XML; Datensätze können im freien Bereich eines Chunks erhalten bleiben und wiederhergestellt werden. Wichtige forensische Quellen: Security.evtx (Anmeldungen 4624/4625, Kontoänderungen, Rechteverwendung 4672), System.evtx (Dienstinstallationen, Abstürze, Boot-Ereignisse), Microsoft-Windows-PowerShell (4103/4104 Script Block Logging), Microsoft-Windows-Sysmon (Prozesserstellung, Netzwerk- und Dateiereignisse). Event ID 1102 (Security-Log gelöscht) und 104 (in System: ein anderes Log gelöscht) sind wichtige Anti-Forensik-Indikatoren. Hinweis: Die Ereignismeldungen sind nicht in der EVTX-Datei selbst gespeichert — sie werden beim Anzeigen über die DLLs der Provider aufgelöst. Werden EVTX-Dateien vom System kopiert, lassen sich die Meldungen ohne Meldungsdatenbank möglicherweise nicht mehr auflösen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 45 6C 66 46 69 6C 65 00 | ElfFile. | EVTX-Dateisignatur ('ElfFile') |
Bekannte Dateiendungen
.evtx
Referenzen
- EVTX format specification (libevtx) https://github.com/libyal/libevtx/blob/main/documentation/Windows%20XML%20Event%20Log%20(EVTX).asciidoc
- ForensicsWiki — Windows XML Event Log (EVTX) https://forensics.wiki/windows_xml_event_log_(evtx)/
- Forensic analysis of Windows 10 and 11 event logs (ElcomSoft, Oleg Afonin, 2026) https://blog.elcomsoft.com/2026/02/forensic-analysis-of-windows-10-and-11-event-logs/
- EVTX and message resolution (Velociraptor docs) https://docs.velociraptor.app/docs/forensic/event_logs/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Event Log (EVTX)“. https://kalink0.github.io/crush-forensics/formats/de/evtx/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden