EVTX 뷰어

어느 컴퓨터에서든 Windows 이벤트 로그를 엽니다 — Windows 컴퓨터도, 이벤트 뷰어도, 설치도 필요 없습니다. 아래에 .evtx 파일을 드롭하면 포렌식 도구가 사용하는 것과 같은 파서 엔진을 WebAssembly로 빌드한 것으로 이 브라우저 탭 안에서 로컬로 파싱됩니다. 먼저 요약(레코드 수, 시간 범위, 채널, 상위 제공자와 이벤트 ID)이 표시되고, 이어서 레코드마다 구조화된 필드와 원시 XML로 열리는 필터링 가능한 표가 표시됩니다. 이벤트 로그는 증거입니다 — 사용자와 컴퓨터, IP 주소, 로그온 시간을 기록합니다 — 그래서 파일은 업로드되지도, 기록되지도, 기기를 떠나지도 않습니다.

마지막 업데이트:

.evtx 파일을 여기에 드롭하거나 선택하세요 — 최대 64 MB. 내보낸 로그(이벤트 뷰어에서 로그를 마우스 오른쪽 버튼으로 클릭 → 다른 이름으로 모든 이벤트 저장…)와 C:\Windows\System32\winevt\Logs에서 복사한 파일 모두 사용할 수 있습니다. 아무것도 업로드되지 않습니다. 파싱은 사용자의 기기에서 Web Worker로 진행되며 진행 상황이 표시됩니다.

파싱은 evtx 크레이트(Rust, 버전 0.14.0)가 담당하며, MIT 또는 Apache-2.0 라이선스에 따라 사용되고, 이 사이트의 저장소에서 유지되는 얇은 래퍼와 함께 WebAssembly로 컴파일되었습니다. 파서는 전적으로 브라우저에서 실행됩니다.

이 도구가 보여주는 것 — 그리고 .evtx가 알려줄 수 없는 것

.evtx 파일은 각 이벤트를 구조화된 바이너리 XML로 저장합니다. System 블록(이벤트 ID, 제공자, 채널, 수준, 타임스탬프, 레코드 ID)과 이벤트의 데이터 필드(EventData 또는 UserData)입니다. 이 뷰어가 렌더링하는 것이 바로 그 구조이며, 정렬과 필터링, 내보내기가 가능합니다. 파일에 들어 있지 않은 것은 이벤트 뷰어가 표시하는 친숙한 메시지 텍스트("계정이 로그온하지 못했습니다…")입니다. Windows는 그 텍스트를 로그를 쓴 컴퓨터에서 각 제공자에 속한 메시지 DLL을 이용해 렌더링합니다. 데이터 안의 %%14592 같은 값은 그 DLL 문자열을 가리키는 자리 표시자입니다. 남의 .evtx에 대해 다듬어진 메시지 텍스트를 보여주는 도구는 그것을 재구성하거나 추측하는 것입니다 — 이 도구는 실제로 증거가 되는 부분인 필드를 보여주고, 레코드를 저장된 그대로 보고 싶을 때는 원시 XML을 보여줍니다. 함께 읽는 가이드인 Windows 컴퓨터 없이 EVTX 파일 읽기는 실제 이벤트 ID로 분류 절차를 안내합니다.

정직한 주석 두 가지를 더합니다. .evtx 안의 타임스탬프는 UTC입니다. 이벤트 뷰어는 그것을 여는 컴퓨터의 현지 시간으로 변환해 표시하는데, 이 때문에 혼란스러워진 타임라인이 한두 개가 아닙니다 — 여기의 표는 UTC를 유지하고 그 사실을 명시합니다. 그리고 손상되거나 잘린 로그가 조용히 "정리"되는 일은 없습니다. 파싱에 실패한 청크는 바이트 오프셋과 함께 표 위에 나열되므로, 파일에서 보지 못하는 부분이 정확히 얼마나 되는지 알 수 있습니다. 청크 단위 손상은 디스크 이미지에서 카빙된 로그에서 정상적인 일이며, 손상 주변의 레코드는 그대로 파싱됩니다. 이웃한 파일 포렌식 작업에서는 PCAP 분석기가 패킷 캡처를 같은 규칙 — 로컬에서, 절대 업로드하지 않고 — 으로 읽습니다.

자주 묻는 질문

Mac이나 Linux 컴퓨터에서 .evtx 파일을 열 수 있나요?

네 — 그것이 이 페이지의 목적입니다. 이벤트 뷰어는 Windows에만 존재하지만, .evtx 형식은 문서화된 바이너리 형식이며, 여기서 사용하는 파서(Rust evtx 크레이트의 WebAssembly 빌드)는 모든 운영 체제의 최신 브라우저에서 실행됩니다. Windows 컴퓨터나 디스크 이미지에서 파일을 복사해 여기에 드롭하면, 지금 있는 곳에서 읽을 수 있습니다.

이벤트 뷰어처럼 이벤트 메시지 텍스트가 보이지 않는 이유는 무엇인가요?

파일에 들어 있지 않기 때문입니다. .evtx는 각 이벤트의 구조화된 필드를 저장합니다. 이벤트 뷰어가 보여주는 문장은 제공자의 메시지 DLL을 이용해 Windows 컴퓨터에서 렌더링되며, 로그와 함께 이동하지 않습니다. %%14592 같은 값은 그 DLL 문자열에 대한 참조입니다. 이 뷰어는 파일이 실제로 담고 있는 모든 것 — System 블록, 모든 EventData/UserData 필드, 원시 XML — 을 보여주며, 알 수 없는 메시지 텍스트를 지어내지 않습니다.

민감한 로그를 여기서 열어도 안전한가요? 파일은 어디로 가나요?

어디로도 가지 않습니다. 파일은 사용자 자신의 브라우저 탭 안의 Web Worker가 읽습니다. 업로드 엔드포인트도, 계정도, 파일 내용 기록도 없습니다. 이 사이트의 다른 로컬 도구와 같은 방법으로 확인할 수 있습니다. 페이지를 로드한 뒤 오프라인으로 전환해도 분석은 그대로 작동합니다. 이벤트 로그에는 사용자와 컴퓨터, IP 주소가 기록되어 있어 이 점이 중요합니다 — 로그를 클라우드 변환기나 AI 채팅에 붙여 넣을 것이 아니라 증거로 취급하세요.

요약에 읽을 수 없었던 청크가 나열되어 있습니다. 파일이 손상된 건가요?

부분적으로 그렇습니다. 그리고 그것은 디스크 이미지에서 복구한 로그나 복사가 중단된 로그에서는 정상입니다. .evtx는 64 KB 청크의 연속이며, 손상은 대개 파일 전체가 아니라 개별 청크를 죽입니다. 뷰어는 읽을 수 없는 청크를 각각 바이트 오프셋과 함께 보고하고 그 주변의 모든 것을 파싱하므로, 조용히 짧아진 로그를 받는 대신 무엇이 누락되었는지 정확히 알 수 있습니다. 전부 0인 청크는 손상이 아니라 미리 할당된 공간이며, Windows가 다루는 것과 똑같이 아무 말 없이 건너뜁니다.

얼마나 큰 로그를 열 수 있나요?

최대 64 MB까지 가능하며, 이는 일반적인 보안 로그의 밀도로 대략 130,000개의 레코드 수준입니다. 파싱은 진행 상황과 함께 배치로 스트리밍되므로 그 정도 크기의 파일도 반응성을 유지합니다. 표는 모든 행을 한 번에 렌더링하지 않고 결과를 페이지로 나눕니다. 더 큰 로그를 나눠야 한다면, 관심 있는 필터링된 부분 집합을 JSON이나 CSV로 내보내 그 파일들로 작업하세요.