EVTX ビューアー

どのマシンでも Windows イベントログを開けます——Windows マシンも、イベント ビューアーも、インストールも不要です。下に .evtx ファイルをドロップすると、フォレンジックツールが使うのと同じパーサーエンジンを WebAssembly 化したものによって、このブラウザタブ内でローカルに解析されます。まず概要（レコード数、期間、チャネル、上位のプロバイダーとイベント ID）、次に絞り込み可能な表が表示され、各レコードを開くと構造化フィールドと生 XML を確認できます。イベントログは証拠です——ユーザー、コンピューター、IP アドレス、ログオン時刻が記録されています——だからファイルがアップロードされることも、記録されることも、デバイスの外に出ることも決してありません。

最終更新:

.evtx ファイルをここにドロップするか、選択してください——最大 64 MB。エクスポートしたログ（イベント ビューアーでログを右クリック →「すべてのイベントを名前を付けて保存…」）も、C:\Windows\System32\winevt\Logs からコピーしたファイルも使えます。アップロードされるものは何もありません。解析はあなたのデバイス上で Web Worker 内で行われ、進捗が表示されます。

解析には evtx crate（Rust、バージョン 0.14.0）を使用しています。MIT または Apache-2.0 ライセンスの下で利用し、このサイトのリポジトリで保守する薄いラッパーとともに WebAssembly にコンパイルされています。パーサーはブラウザ内で完全に動作します。

このツールが見せるもの——そして .evtx では分からないこと

.evtx ファイルは各イベントを構造化されたバイナリ XML として保存します。System ブロック（イベント ID、プロバイダー、チャネル、レベル、タイムスタンプ、レコード ID）と、イベントのデータフィールド（EventData または UserData）です。このビューアーが描画するのはまさにその構造で、並べ替え、絞り込み、エクスポートができます。ファイルに含まれていないのは、イベント ビューアーが表示する分かりやすいメッセージ文（「アカウントがログオンできませんでした…」）です。Windows はその文を、ログを書いたマシン上で、各プロバイダーに属するメッセージ DLL から描画します。データ内の %%14592 のような値は、それらの DLL の文字列へのプレースホルダーです。他人の .evtx について整ったメッセージ文を見せるツールは、それを再構成しているか推測しているかのどちらかです。このツールが見せるのはフィールド——実際に証拠となる部分——と、レコードを保存されたとおりに見たいときのための生 XML です。コンパニオンガイドWindows マシンのない環境で EVTX ファイルを読むでは、実際のイベント ID を使ったトリアージ手順を解説しています。

正直な注記をもう 2 つ。.evtx 内のタイムスタンプは UTC です。イベント ビューアーはそれを開いたマシンの現地時刻に変換して表示するため、タイムラインが混乱した例は一度ではありません——ここの表は UTC のままにし、その旨を明記します。また、破損したり途中で切れたりしたログが黙って「きれいにされる」ことはありません。解析に失敗した chunk はバイトオフセット付きで表の上に列挙されるので、ファイルのどれだけが見えていないかが正確に分かります。chunk 単位の損傷はディスクイメージから切り出したログでは普通のことであり、損傷の前後のレコードはそのまま解析されます。隣接するファイルフォレンジックの仕事については、PCAP アナライザーが同じルール——ローカルで、アップロードは決してしない——でパケットキャプチャを読みます。

よくある質問

Mac や Linux のマシンで .evtx ファイルを開けますか？

はい——それがこのページの目的です。イベント ビューアーは Windows にしか存在しませんが、.evtx 形式は文書化されたバイナリ形式であり、ここで使うパーサー（Rust の evtx crate を WebAssembly 化したもの）は、あらゆる OS のモダンブラウザで動作します。Windows マシンやディスクイメージからファイルをコピーし、ここにドロップすれば、今いる場所で読めます。

イベント ビューアーのようなイベントのメッセージ文が表示されないのはなぜですか？

ファイルに含まれていないからです。.evtx は各イベントの構造化フィールドを保存します。イベント ビューアーが表示する文は、プロバイダーのメッセージ DLL から Windows マシン上で描画されるもので、ログと一緒に移動しません。%%14592 のような値は、それらの DLL 文字列への参照です。このビューアーは、ファイルが実際に含むすべて——System ブロック、すべての EventData/UserData フィールド、生 XML——を表示し、分かるはずのないメッセージ文をでっち上げたりしません。

機密性の高いログをここで開いても安全ですか？ファイルはどこへ行きますか？

どこへも行きません。ファイルはあなた自身のブラウザタブ内の Web Worker によって読み込まれます。アップロード用のエンドポイントも、アカウントも、ファイル内容の記録もありません。このサイトの他のローカルツールと同じ方法で確認できます。ページを読み込み、オフラインにしても、解析はそのまま動作します。イベントログにはユーザー、コンピューター、IP アドレスが記録されているので、これは重要です——ログは証拠として扱い、クラウドの変換サイトや AI チャットに貼るようなものではありません。

概要に読み取れなかった chunk が列挙されています。ファイルが壊れているのでしょうか？

部分的に壊れています。そしてそれは、ディスクイメージから復旧したログやコピーが中断したログでは普通のことです。.evtx は 64 KB の chunk の連続であり、損傷は通常、ファイル全体ではなく個々の chunk を壊します。ビューアーは読み取れない chunk をバイトオフセット付きで報告し、その前後すべてを解析するので、黙って短くなったログを受け取るのではなく、何が欠けているかが正確に分かります。すべてゼロの chunk は事前に確保された空き領域であり損傷ではなく、Windows とまったく同じ扱いで、コメントなしにスキップされます。

どれくらい大きなログを開けますか？

最大 64 MB です。これは、一般的なセキュリティログの密度ではおよそ 130,000 件のレコードに相当します。解析は進捗付きでバッチごとにストリーミングされるため、その大きさのファイルでも応答性は保たれます。表はすべての行を一度に描画するのではなく、結果をページ分けします。さらに大きなログを分割する必要がある場合は、関心のある絞り込み済みサブセットを JSON または CSV としてエクスポートし、それらを使って作業してください。