Como Exportar Logs de Eventos do Windows (EVTX)

A resposta curta: abra o Visualizador de Eventos, clique com o botão direito do mouse no log necessário (por exemplo Logs do Windows → Segurança), escolha Salvar Todos os Eventos Como…, e mantenha o formato .evtx. A partir de um prompt de comando elevado, a mesma coisa é feita em uma linha: wevtutil epl Security C:logssecurity.evtx. Não copie os arquivos de C:WindowsSystem32winevtLogs com o Explorer. O serviço de Log de Eventos os mantém abertos, então geralmente você recebe um erro ou nada utilizável.

EVTX vale o tempo extra em comparação com uma exportação de texto. É o formato nativo, então cada campo, os IDs de registro e os timestamps exatos em UTC são preservados. Um SIEM não pode restituir isso para você, pois ele armazena texto renderizado. Prime Core tem 11.632 regras sigma para logs de eventos do Windows, mapeadas para 643 técnicas ATT&CK da MITRE. Elas variam desde tentativas de adivinhação de senha (T1110) até serviços maliciosos (T1543.003) e até atacantes apagando os logs atrás deles (T1070.001). Abaixo está como exportar os logs corretos, sanitizá-los e investigá-los gratuitamente no LogTotal.

1 Minuto Média de Tempo para Investigação, Grátis

TL;DR

Rota	Use isso quando	O que você precisa
Visualizador de Eventos → Salvar Todos os Eventos Como	Uma máquina, um ou dois logs, você tem uma sessão de desktop	Direitos de administrador, ou Leitores de Logs de Eventos para a maioria dos logs
wevtutil epl	Você deseja uma exportação filtrada, um script ou um servidor sem uma GUI	Um prompt elevado
wevtutil com /r: ou um loop em PowerShell	Vários logs, ou uma máquina remota	Direitos de administrador no destino, mais acesso remoto ao log de eventos através do firewall

Antes de começar

Três coisas determinam se a exportação contém o que você espera que ela contenha.

Direitos. Administradores podem exportar qualquer log. Membros do grupo local Leitores de Logs de Eventos podem ler a maioria dos logs sem administração completa. Para o log de Segurança, um prompt elevado é a escolha segura. Detalhes estão em nosso [guia de permissões de logs de eventos do Windows].

Política de auditoria. O Windows só registra o que lhe é dito para registrar. A criação de processos (evento 4688) não é auditada por padrão. Mesmo quando é, a linha de comando é registrada apenas se uma política separada estiver habilitada. Verifique antes de procurar eventos que nunca foram escritos:

auditpol /get /category:*

Tamanho do log e sobrescrição. Todo log tem um tamanho máximo. Por padrão, o Windows sobrescreve os eventos mais antigos uma vez que o log está cheio e em um servidor ou controlador de domínio ocupado isso pode significar apenas algumas horas de histórico. Veja com o que você está lidando:

wevtutil gl Security

Observe maxSize e retenção. Se o ataque ocorreu antes do evento mais antigo no log, não está lá. Verifique seu SIEM ou eventos encaminhados em vez disso.

E o lembrete de sempre: os logs de eventos estão cheios de nomes de usuário, nomes de host e IPs. O LogTotal sanitiza os uploads, mas a sua política de manuseio de dados ainda se aplica.

Quais logs exportar

“Os logs do Windows” é alguns centenas de canais em um sistema moderno. Para trabalhos de segurança, esses são os que geralmente contam a história:

Log (nome do canal)	O que ele te fornece	Notas
Segurança	Logons (4624, 4625), mudanças de conta (4720, 4728), log apagado (1102), criação de processos (4688)	4688 apenas se a auditoria estiver ativada
Sistema	Novos serviços (7045), mudanças de serviço (7036), log de Sistema apagado (104)
Microsoft-Windows-Sysmon/Operational	Criação de processos com hashes e linhas de comando, conexões de rede, e mais	Apenas se Sysmon estiver instalado
Microsoft-Windows-PowerShell/Operational	Registro de bloco de scripts (4104), o código realmente executado	Apenas se o registro de bloco de scripts estiver ativado
Microsoft-Windows-Windows Defender/Operational	Detecções (1116) e ações tomadas (1117)
Microsoft-Windows-TaskScheduler/Operational	Novas tarefas agendadas (106), um truque favorito de persistência
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational	Logon de sessão RDP, desconectar, reconectar (21, 24, 25)

Não tem certeza do que uma máquina possui? wevtutil el lista todos os canais. Envie tudo pelo findstr /i sysmon (ou qualquer outra coisa que você esteja procurando) para verificar um específico.

Opção 1: Visualizador de Eventos

Melhor para uma máquina e alguns logs.

1. Pressione Win+R, digite eventvwr.msc e execute como administrador.
2. Encontre o log. Os clássicos estão sob Logs do Windows. Tudo mais está sob Logs de Aplicações e Serviços → Microsoft → Windows. Sysmon, por exemplo, está em …WindowsSysmonOperational.
3. Clique com o botão direito do mouse no log e escolha Salvar Todos os Eventos Como…
4. Mantenha Arquivos de Eventos (*.evtx) como tipo e dê ao arquivo um nome que indique o que ele é, como dc-01_seguranca_2026-10-20.evtx.
5. O Windows então pergunta sobre informações de exibição. Isso decide se uma pasta LocaleMetaData com texto de mensagem será salva ao lado do arquivo, o que ajuda quando alguém o abre no Visualizador de Eventos em outra máquina. Para um upload no LogTotal, o arquivo .evtx é o que conta.

Precisa de apenas parte do log? Use Filtrar Log Atual… primeiro (IDs de eventos, intervalo de tempo), então Salvar Arquivo de Log Filtrado Como…. A XML aba desse diálogo de filtro mostra a consulta XPath exata que ele construiu. Copie; você vai precisar dela para o wevtutil em um minuto.

Opção 2: wevtutil a partir da linha de comando

wevtutil é enviado com cada versão do Windows que você provavelmente irá encontrar. Ele funciona sem uma GUI e pode filtrar enquanto exporta. Execute-o a partir de um prompt elevado.

O log inteiro:

mkdir C:logs
wevtutil epl Security C:logsdc-01_seguranca.evtx

Apenas nas últimas 24 horas (o número é em milissegundos):

wevtutil epl Security C:logsdc-01_seguranca_24h.evtx /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]”

Uma janela exata, em UTC:

wevtutil epl Security C:logsdc-01_seguranca_1019.evtx /q:”*[System[TimeCreated[@SystemTime>=’2026-10-19T00:00:00.000Z’ and @SystemTime<‘2026-10-20T00:00:00.000Z’]]]”

Apenas logons, bem-sucedidos e falhados:

wevtutil epl Security C:logsdc-01_logons.evtx /q:”*[System[(EventID=4624 or EventID=4625)]]”

Nomes de canal com espaços precisam de aspas:

wevtutil epl “Microsoft-Windows-Windows Defender/Operational” C:logsdefender.evtx

Se o arquivo de destino já existe, wevtutil se recusa a sobrescrevê-lo a menos que você adicione /ow:true. Escrever XPath à mão fica aborrecido rapidamente. Construa o filtro no Visualizador de Eventos e copie a consulta da aba XML, como descrito acima.

Em um controlador de domínio, filtre. Uma exportação de Segurança não filtrada de um DC ocupado pode resultar em gigabytes, e você estará carregando a maior parte sem necessidade.

Opção 3: Vários logs, ou uma máquina remota

Para triagem, você geralmente deseja o mesmo conjunto de logs de cada host. Este snippet de PowerShell os exporta para uma pasta por máquina e pula qualquer canal que não exista (sem Sysmon, por exemplo) em vez de falhar:

$out = “C:logs$env:COMPUTERNAME”
New-Item -ItemType Directory -Force -Path $out | Out-Null

$logs = ‘Security’, ‘System’,
‘Microsoft-Windows-Sysmon/Operational’,
‘Microsoft-Windows-PowerShell/Operational’,
‘Microsoft-Windows-Windows Defender/Operational’,
‘Microsoft-Windows-TaskScheduler/Operational’

foreach ($l in $logs) {
$file = Join-Path $out (($l -replace ‘[\/ ]’, ‘_’) + ‘.evtx’)
wevtutil epl $l $file /ow:true 2>$null
if ($LASTEXITCODE -ne 0) { Write-Warning “Skipped: $l” }
}

Máquinas remotas. wevtutil aceita /r:<computer>, mas há um problema que as pessoas descobrem da pior maneira: o arquivo de exportação é gravado no remoto disco da máquina, não no seu. Planeje buscá-lo depois:

wevtutil epl Security C:logssrv-01_seguranca.evtx /r:srv-01
copy \srv-01C$logssrv-01_seguranca.evtx .

Isso requer direitos de administrador no destino e as Regras de Gerenciamento de Logs Remotos de firewall habilitadas lá. Se essas regras estão desativadas e você prefere não tocá-las, o remoting do PowerShell faz o mesmo trabalho: execute o snippet acima através de Invoke-Command, depois puxe os arquivos de volta com Copy-Item -FromSession.

Upload e revisão no LogTotal

O LogTotal lê EVTX nativamente, então não há nada para converter. É o serviço gratuito da SOC Prime para executar lógica de detecção contra um arquivo de log sem configurar nada.

1. Carregar. Abra logtotal.com e solte o arquivo .evtx. [PROVA: tela de upload, limite de tamanho, se vários arquivos podem ser incluídos de uma vez]
2. Revisão. [PROOF: what the results screen shows and how findings map to rules and ATT&CK techniques]

Como isso se parece com dados reais. Usamos [PROVA: fonte de amostra, por exemplo, um Security.evtx de uma VM Windows descartável após uma cadeia de ataques simulada: logons falhados, um novo administrador local, um novo serviço, então o log de Aplicativos sendo apagado]. O arquivo foi [PROVA: N eventos, X MB]. O LogTotal destacou [PROVA: achados reais, regras correspondentes, técnicas ATT&CK].

Quer experimentar primeiro? [PROVA: link para o arquivo de amostra] é o mesmo arquivo que usamos acima.

Quando dá errado

Sintoma	Causa provável	Fix
Acesso negado	O prompt não está elevado, ou a conta não tem direitos para esse log	Execute como administrador
O canal especificado não pode ser encontrado	Erro de digitação no nome do canal, ou o componente não está instalado (Sysmon é o usual)	Verifique com wevtutil el | findstr /i <nome>
wevtutil reclama que o arquivo existe	Ele não substitui por padrão	Adicione /ow:true, ou escolha um novo nome de arquivo
A consulta especificada é inválida	Citações ou sintaxe XPath	Construa o filtro no Visualizador de Eventos e copie-o da aba XML
Copiar de winevtLogs falha com “em uso por outro processo”	O serviço de Log de Eventos mantém os arquivos ativos abertos	Exporte com o Visualizador de Eventos ou wevtutil em vez disso
Nenhum evento 4625 ou 4688	Essa categoria não é auditada	Verifique auditpol /get /category:*; isso corrige eventos futuros, não os passados
O log só vai até algumas horas atrás	O log está cheio e sobrescrevendo	Verifique wevtutil gl Security; procure por arquivos Archive-Security-*.evtx se o arquivamento estiver ativado
O servidor RPC está indisponível com /r:	As regras de firewall de Gerenciamento de Logs Remotos estão desativadas	Ative-as no destino, ou use o remoting do PowerShell
Exportação remota “concluída”, mas não há arquivo	/r: escreve o arquivo na máquina remota	Procure no disco do destino, por ex. \srv-01C$logs