Comment Exporter les Journaux d’Événements Windows (EVTX)

La réponse courte : ouvrez le Visualiseur d’événements, cliquez avec le bouton droit sur le journal dont vous avez besoin (par exemple Journaux Windows → Sécurité), choisissez Enregistrer tous les événements sous…, et conservez le format .evtx. À partir d’une invite de commande avec élévation de privilèges, la même chose se fait en une ligne : wevtutil epl Security C:logssecurity.evtx. Ne copiez pas les fichiers hors de C:WindowsSystem32winevtLogs avec l’Explorateur. Le service Log des événements les garde ouverts, donc vous obtenez généralement une erreur ou rien d’utilisable.

EVTX vaut la minute supplémentaire par rapport à une exportation texte. C’est le format natif, donc chaque champ, les identifiants d’enregistrement et les horodatages UTC exacts survivent. Un SIEM ne peut pas vous les restituer, car il stocke du texte rendu. Prime Core dispose de 11 632 règles sigma pour les journaux d’événements Windows, mappées à 643 techniques MITRE ATT&CK. Elles vont du devinage de mot de passe (T1110) et des services malveillants (T1543.003) aux attaquants nettoyant les journaux derrière eux (T1070.001). Voici comment exporter les bons journaux, les nettoyer et les examiner gratuitement dans LogTotal.

Essayez LogTotal, gratuit

TL;DR

Avant de commencer

Trois choses décident si l’exportation contient ce que vous espérez qu’elle contient.

Droits. Les administrateurs peuvent exporter n’importe quel journal. Les membres du groupe local Lecteurs de journaux d’événements peuvent lire la plupart des journaux sans être administrateurs complets. Pour le journal de sécurité, une invite avec élévation de privilèges est le choix fiable. Les détails sont dans notre [guide des permissions des journaux d’événements Windows].

Politique d’audit. Windows ne journalise que ce qu’on lui dit de journaliser. La création de processus (événement 4688) n’est pas auditée par défaut. Même si elle l’est, la ligne de commande n’est enregistrée que si une politique distincte est activée. Vérifiez avant de chercher des événements qui n’ont jamais été enregistrés :

auditpol /get /category:*

Taille du journal et réécriture. Chaque journal a une taille maximale. Par défaut, Windows réécrit les événements les plus anciens une fois que le journal est plein, et sur un serveur occupé ou un contrôleur de domaine, cela peut signifier seulement quelques heures d’historique. Voyez avec quoi vous travaillez :

wevtutil gl Security

Regardez maxSize et retention. Si l’attaque a eu lieu avant l’événement le plus ancien du journal, elle n’y est pas. Vérifiez plutôt votre SIEM ou les événements transférés.

Et le rappel habituel : les journaux d’événements sont remplis de noms d’utilisateur, de noms d’hôte et d’IPs. LogTotal désinfecte les téléchargements, mais votre politique de gestion des données s’applique toujours.

Quels journaux exporter

« Les journaux Windows » sont quelques centaines de canaux sur un système moderne. Pour le travail de sécurité, ce sont ceux qui fournissent généralement l’histoire :

Pas sûr de ce qu’une machine a ? wevtutil el liste chaque canal. Passez-le par findstr /i sysmon (ou ce que vous cherchez) pour vérifier un spécifique.

Option 1 : Visualiseur d’événements

Idéal pour une machine et un ou deux journaux.

1. Appuyez sur Win+R, tapez eventvwr.msc et exécutez-le en tant qu’administrateur.
2. Trouvez le journal. Les classiques sont sous Journaux Windows. Tout le reste se trouve sous Journaux d’applications et de services → Microsoft → Windows. Sysmon, par exemple, est à …WindowsSysmonOperational.
3. Cliquez avec le bouton droit sur le journal et choisissez Enregistrer tous les événements sous…
4. Conservez Fichiers d’événements (*.evtx) comme type et donnez au fichier un nom qui indique ce qu’il est, comme dc-01_security_2026-10-20.evtx.
5. Windows demande alors des informations d’affichage. Cela décide si un dossier LocaleMetaData avec un texte message est enregistré à côté du fichier, ce qui aide quand quelqu’un l’ouvre dans le Visualiseur d’événements sur une autre machine. Pour un téléchargement LogTotal, le fichier .evtx est ce qui compte.

Besoin uniquement d’une partie du journal ? Utilisez d’abord Filtrer le journal actuel… (ID d’événements, plage de temps), puis Enregistrer le journal filtré sous…. L’onglet XML de cette boîte de dialogue de filtre montre la requête XPath exacte qu’il a construite. Copiez-la ; vous en aurez besoin pour wevtutil dans une minute.

Option 2 : wevtutil depuis la ligne de commande

wevtutil est livré avec chaque version de Windows que vous êtes susceptible de rencontrer. Il fonctionne sans interface graphique et peut filtrer tout en exportant. Exécutez-le depuis une invite avec élévation de privilèges.

Le journal entier :

mkdir C:logs
wevtutil epl Security C:logsdc-01_security.evtx

Uniquement les dernières 24 heures (le nombre est en millisecondes) :

wevtutil epl Security C:logsdc-01_security_24h.evtx /q: »*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]] »

Une fenêtre exacte, en UTC :

wevtutil epl Security C:logsdc-01_security_1019.evtx /q: »*[System[TimeCreated[@SystemTime>=’2026-10-19T00:00:00.000Z’ and @SystemTime<‘2026-10-20T00:00:00.000Z’]]] »

Seulement les connexions, réussies ou échouées :

wevtutil epl Security C:logsdc-01_logons.evtx /q: »*[System[(EventID=4624 or EventID=4625)]] »

Les noms de canaux avec espaces nécessitent des guillemets :

wevtutil epl « Microsoft-Windows-Windows Defender/Operational » C:logsdefender.evtx

Si le fichier cible existe déjà, wevtutil refuse de l’écraser sauf si vous ajoutez /ow:true. Écrire XPath à la main devient rapidement fastidieux. Créez le filtre dans le Visualiseur d’événements et copiez la requête depuis l’onglet XML, comme décrit ci-dessus.

Sur un contrôleur de domaine, filtrez. Un export Sécurité non filtré d’un contrôleur de domaine occupé peut atteindre des gigaoctets, et vous téléchargerez la plupart de celui-ci pour rien.

Option 3 : Plusieurs journaux, ou une machine distante

Pour le triage, vous voulez généralement les mêmes quelques journaux de chaque hôte. Ce snippet PowerShell les exporte dans un dossier par machine et ignore tout canal qui n’existe pas (pas de Sysmon, par exemple) au lieu d’échouer :

$out = « C:logs$env:COMPUTERNAME »
New-Item -ItemType Directory -Force -Path $out | Out-Null

$logs = ‘Security’, ‘System’,
        ‘Microsoft-Windows-Sysmon/Operational’,
        ‘Microsoft-Windows-PowerShell/Operational’,
        ‘Microsoft-Windows-Windows Defender/Operational’,
        ‘Microsoft-Windows-TaskScheduler/Operational’

foreach ($l in $logs) {
    $file = Join-Path $out (($l -replace ‘[\/ ]’, ‘_’) + ‘.evtx’)
    wevtutil epl $l $file /ow:true 2>$null
    if ($LASTEXITCODE -ne 0) { Write-Warning « Skipped: $l » }
}

Machines distantes. wevtutil accepte /r:<ordinateur>, mais il y a un piège que les gens découvrent à la dure : le fichier d’exportation est écrit sur le disque de la machine distante , pas sur le vôtre. Planifiez de le récupérer ensuite :

wevtutil epl Security C:logssrv-01_security.evtx /r:srv-01
copier \srv-01C$logssrv-01_security.evtx .

Cela nécessite des droits d’administrateur sur la cible et les règles de Gestion des journaux d’événements distants activées là. Si ces règles sont désactivées et que vous préférez ne pas les toucher, l’administration PowerShell fait le même boulot : exécutez le snippet ci-dessus via Invoke-Command, puis récupérez les fichiers avec Copy-Item -FromSession.

Télécharger et examiner dans LogTotal

LogTotal lit les EVTX nativement, donc il n’y a rien à convertir. C’est le service gratuit de SOC Prime pour exécuter une logique de détection sur un fichier journal sans rien configurer.

1. Télécharger. Ouvrez logtotal.com et déposez le fichier .evtx. [PROOF : écran de téléchargement, limite de taille, si plusieurs fichiers peuvent être publiés en même temps]
2. Examen. [PROOF: what the results screen shows and how findings map to rules and ATT&CK techniques]

Ce à quoi cela ressemble sur des données réelles. Nous avons utilisé [PROOF : source d’échantillon, par ex. un Security.evtx d’une VM Windows jetable après une chaîne d’attaques simulée : échecs de connexion, nouvel administrateur local, nouveau service, puis le journal d’application étant effacé]. Le fichier était [PROOF : N événements, X MB]. LogTotal a signalé [PROOF : résultats réels, règles correspondantes, techniques ATT&CK].

Vous voulez l’essayer d’abord ? [PROOF : lien vers le fichier d’échantillon] est le même fichier que nous avons utilisé ci-dessus.

Quand ça tourne mal