Śledź
Krótka odpowiedź: otwórz Podgląd zdarzeń, kliknij prawym przyciskiem myszy na dziennik, który potrzebujesz (na przykład Dzienniki systemu Windows → Zabezpieczenia), wybierz Zapisz wszystkie zdarzenia jako…, i zachowaj format .evtx. Z podwyższonego wiersza poleceń to samo można zrobić jedną linią: wevtutil epl Security C:logssecurity.evtx. Nie kopiuj plików z C:WindowsSystem32winevtLogs za pomocą Eksploratora. Usługa dziennika zdarzeń utrzymuje je otwarte, dlatego zazwyczaj pojawia się błąd lub kopia jest niezdatna do użytku.
EVTX jest warte dodatkowej minuty w porównaniu z eksportem tekstowym. To natywny format, więc każde pole, identyfikatory rekordów i dokładne znaczniki czasowe UTC są zachowane. SIEM nie może tego przywrócić, ponieważ przechowuje przetworzony tekst. Prime Core ma 11 632 reguły sigma dla dzienników zdarzeń Windows, przypisane do 643 technik MITRE ATT&CK. Obejmują one od zgadywania haseł (T1110) i złośliwych usług (T1543.003) do usuwania dzienników przez atakujących (T1070.001). Poniżej przedstawiono, jak wyeksportować właściwe dzienniki, oczyścić je i bezpłatnie zbadać w LogTotal.
1-minutowy średni czas na rozpoczęcie dochodzenia, Bezpłatnie
TL;DR
| Droga | Użyj, gdy | Czego potrzebujesz |
|---|---|---|
| Podgląd zdarzeń → Zapisz wszystkie zdarzenia jako | Jedna maszyna, jeden lub dwa dzienniki, masz sesję na pulpicie | Prawa administratora lub uprawnienia czytnika dzienników dla większości dzienników |
| wevtutil epl | Chcesz przefiltrowany eksport, skrypt lub serwer bez GUI | Podwyższony wiersz poleceń |
| wevtutil z /r: lub pętla PowerShell | Kilka dzienników lub zdalna maszyna | Prawa administratora na celu oraz dostęp do zdalnego dziennika zdarzeń przez zaporę |
Zanim zaczniesz
Trzy rzeczy decydują, czy eksport zawiera to, co miał zawierać.
Uprawnienia. Administratorzy mogą eksportować dowolny dziennik. Członkowie lokalnej grupy Czytników dzienników zdarzeń mogą czytać większość dzienników bez pełnych uprawnień administratora. Dla dziennika Zabezpieczeń niezawodnym wyborem jest podwyższony wiersz poleceń. Szczegóły znajdują się w naszym [przewodniku po uprawnieniach do dzienników zdarzeń Windows].
Polityka audytu. Windows rejestruje tylko to, do czego jest skonfigurowany. Tworzenie procesów (zdarzenie 4688) nie jest audytowane domyślnie. Nawet wtedy linia poleceń jest rejestrowana tylko wtedy, gdy aktywowana jest odpowiednia polityka. Sprawdź to przed szukaniem zdarzeń, które nigdy nie zostały zapisane:
auditpol /get /category:*
Rozmiar dziennika i nadpisywanie. Każdy dziennik ma maksymalny rozmiar. Domyślnie Windows nadpisuje najstarsze zdarzenia, gdy dziennik jest pełny, a na zapracowanym serwerze lub kontrolerze domeny może to oznaczać tylko kilka godzin historii. Zobacz, z czym pracujesz:
wevtutil gl Security
Spójrz na maxSize i retencję. Jeśli atak miał miejsce przed najstarszym wydarzeniem w dzienniku, nie ma go tam. Sprawdź swoje SIEM lub przesyłane dalej zdarzenia.
I standardowe przypomnienie: dzienniki zdarzeń są pełne nazw użytkowników, nazw hostów i adresów IP. LogTotal oczyszcza przesyłki, ale nadal obowiązuje polityka obsługi danych.
Które dzienniki eksportować
„Dzienniki systemu Windows” to kilkaset kanałów na nowoczesnym systemie. Do pracy z bezpieczeństwem, to one zwykle opowiadają historię:
| Dziennik (nazwa kanału) | Co ci daje | Uwagi |
|---|---|---|
| Zabezpieczenia | Logowania (4624, 4625), zmiany konta (4720, 4728), czyszczenie dziennika (1102), tworzenie procesów (4688) | 4688 tylko, jeśli audytowanie jest włączone |
| System | Nowe usługi (7045), zmiany usług (7036), czyszczenie dziennika systemowego (104) | |
| Microsoft-Windows-Sysmon/Operational | Tworzenie procesów z haszami i liniami poleceń, połączenia sieciowe i więcej | Tylko jeśli zainstalowano Sysmon |
| Microsoft-Windows-PowerShell/Operational | Logowanie bloków skryptów (4104), kod, który faktycznie został wykonany | Tylko jeśli logowanie bloków skryptów jest włączone |
| Microsoft-Windows-Windows Defender/Operational | Wykrycia (1116) i podjęte działania (1117) | |
| Microsoft-Windows-TaskScheduler/Operational | Nowe zadania zaplanowane (106), ulubiony trick do utrzymania dostępu | |
| Microsoft-Windows-TerminalServices-LocalSessionManager/Operational | Logowania sesji RDP, rozłączenia, ponowne połączenia (21, 24, 25) |
Nie jesteś pewien, co ma maszyna? wevtutil el wyświetla wszystkie kanały. Przepuść to przez findstr /i sysmon (lub cokolwiek szukasz), aby sprawdzić konkretną.
Opcja 1: Podgląd zdarzeń
Najlepszy dla jednej maszyny i kilku dzienników.
- Naciśnij Win+R, wpisz eventvwr.msc i uruchom jako administrator.
- Znajdź dziennik. Klasyczne są pod Dzienniki systemu Windows. Wszystko inne znajduje się pod Dzienniki aplikacji i usług → Microsoft → Windows. Sysmon, na przykład, jest w …WindowsSysmonOperational.
- Kliknij prawym przyciskiem myszy na dziennik i wybierz Zapisz wszystkie zdarzenia jako…
- Zachowaj Pliki zdarzeń (*.evtx) jako typ i nadaj plikowi nazwę, która mówi, co to jest, na przykład dc-01_security_2026-10-20.evtx.
- Windows następnie pyta o informacje wyświetlania. To określa, czy zapisywany jest folder LocaleMetaData z tekstem komunikatów obok pliku, co pomaga, gdy ktoś otwiera go w Podglądzie zdarzeń na innej maszynie. Do przesłania do LogTotal liczy się plik .evtx.
Potrzebujesz tylko części dziennika? Użyj Filtruj bieżący dziennik… najpierw (identyfikatory zdarzeń, zakres czasu), następnie Zapisz przefiltrowany plik dziennika jako…. XML karta dialogu filtra pokazuje dokładne zapytanie XPath, które zostało utworzone. Skopiuj je; będziesz go potrzebować do wevtutil za chwilę.
Opcja 2: wevtutil z wiersza poleceń
wevtutil jest dostarczany z każdą wersją Windows, jaką prawdopodobnie spotkasz. Działa bez GUI i może filtrować podczas eksportowania. Uruchom go z podwyższonego wiersza poleceń.
Cały dziennik:
mkdir C:logs
wevtutil epl Security C:logsdc-01_security.evtx
Tylko ostatnie 24 godziny (liczba to milisekundy):
wevtutil epl Security C:logsdc-01_security_24h.evtx /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]”
Dokładne okno czasowe, w UTC:
wevtutil epl Security C:logsdc-01_security_1019.evtx /q:”*[System[TimeCreated[@SystemTime>=’2026-10-19T00:00:00.000Z’ and @SystemTime<’2026-10-20T00:00:00.000Z’]]]”
Tylko logowania, udane i nieudane:
wevtutil epl Security C:logsdc-01_logons.evtx /q:”*[System[(EventID=4624 or EventID=4625)]]”
Nazwy kanałów z odstępami wymagają cudzysłowów:
wevtutil epl „Microsoft-Windows-Windows Defender/Operational” C:logsdefender.evtx
Jeśli plik docelowy już istnieje, wevtutil odmawia nadpisania go, chyba że dodasz /ow:true. Pisanie ręcznie XPath szybko się nudzi. Utwórz filtr w Podglądzie zdarzeń i skopiuj zapytanie z zakładki XML, jak opisano powyżej.
Na kontrolerze domeny, filtruj. Nieprzefiltrowany eksport Zabezpieczeń z zajętego DC może mieć rozmiar sięgający gigabajtów i wczytujesz większość z tego na darmo.
Opcja 3: Kilka dzienników lub zdalna maszyna
Do triażu zwykle chciałbyś te same garść dzienników z każdego hosta. Ten fragment PowerShell eksportuje je do jednego katalogu na maszynę i pomija każdy kanał, który nie istnieje (na przykład brak Sysmon) zamiast zawieść:
$out = „C:logs$env:COMPUTERNAME”
New-Item -ItemType Directory -Force -Path $out | Out-Null
$logs = 'Security’, 'System’,
'Microsoft-Windows-Sysmon/Operational’,
'Microsoft-Windows-PowerShell/Operational’,
'Microsoft-Windows-Windows Defender/Operational’,
'Microsoft-Windows-TaskScheduler/Operational’
foreach ($l in $logs) {
$file = Join-Path $out (($l -replace '[\/ ]’, '_’) + ’.evtx’)
wevtutil epl $l $file /ow:true 2>$null
if ($LASTEXITCODE -ne 0) { Write-Warning „Pominięto: $l” }
}
Zdalne maszyny. wevtutil akceptuje /r:<komputer>, ale jest pewien kruczek, który ludzie odkrywają w trudny sposób: plik eksportowy jest zapisywany na dysku zdalnej maszyny, nie twojej. Planuj pobrać go później:
wevtutil epl Security C:logssrv-01_security.evtx /r:srv-01
copy \srv-01C$logssrv-01_security.evtx .
To wymaga praw administratora na celu i włączonych zasad zapory do zdalnego zarządzania dziennikami zdarzeń. Jeśli te zasady są wyłączone i wolisz ich nie zmieniać, zdalne uruchamianie PowerShell wykonuje tę samą pracę: uruchom powyższy fragment przez Invoke-Command, a następnie przeciągnij pliki za pomocą Copy-Item -FromSession. Remote Event Log Management firewall rules enabled there. If those rules are off and you’d rather not touch them, PowerShell remoting does the same job: run the snippet above through Invoke-Command, then pull the files back with Copy-Item -FromSession.
Prześlij i przeglądaj w LogTotal
LogTotal czyta EVTX natywnie, więc nie ma nic do przekształcania. To darmowa usługa SOC Prime do uruchamiania logiki wykrywania na pliku dziennika bez żadnych konfiguracji.
- Prześlij. Otwórz logtotal.com i wrzuć plik .evtx. [PROOF: ekran przesyłania, limit rozmiaru, czy można wrzucić kilka plików na raz]
- Przegląd. [PROOF: what the results screen shows and how findings map to rules and ATT&CK techniques]
Jak to wygląda na rzeczywistych danych. Użyliśmy [PROOF: przykładowe źródło, np. Security.evtx z odrzuconej maszyny wirtualnej Windows po symulowanym łańcuchu ataków: nieudane logowania, nowy lokalny administrator, nowa usługa, a następnie wyczyszczenie dziennika aplikacji]. Plik miał [PROOF: N zdarzeń, X MB]. LogTotal oznaczyło [PROOF: faktyczne znaleziska, dopasowane zasady, techniki ATT&CK].
Chcesz spróbować najpierw? [PROOF: link do pliku przykładowego] to ten sam plik, którego użyliśmy powyżej.
Kiedy coś idzie nie tak
| Objaw | Przypuszczalna przyczyna | Fix |
|---|---|---|
| Odmowa dostępu | Wiersz poleceń nie jest podniesiony, lub konto nie ma uprawnień do tego dziennika | Uruchom jako administrator |
| Określonego kanału nie można znaleźć | Literówka w nazwie kanału, lub komponent nie jest zainstalowany (Sysmon to ten zwykły) | Sprawdź za pomocą wevtutil el | findstr /i <name> |
| wevtutil zgłasza, że plik już istnieje | Domyślnie nie nadpisuje | Dodaj /ow:true, lub wybierz nową nazwę pliku |
| Określone zapytanie jest nieprawidłowe | Cytowanie XPath lub składnia | Stwórz filtr w Podglądzie zdarzeń i skopiuj go z zakładki XML |
| Kopiowanie z winevtLogs kończy się błędem „używane przez inny proces” | Usługa dziennika zdarzeń trzyma otwarte pliki na żywo | Eksportuj za pomocą Podglądu zdarzeń lub wevtutil |
| Brak zdarzeń 4625 lub 4688 | Ta kategoria nie jest audytowana | Sprawdź auditpol /get /category:*; to naprawia przyszłe zdarzenia, nie przeszłe |
| Dziennik sięga tylko kilka godzin wstecz | Dziennik jest pełny i nadpisuje dane | Sprawdź wevtutil gl Security; poszukaj plików Archive-Security-*.evtx, jeśli archiwizacja jest włączona |
| Serwer RPC jest niedostępny z /r: | Zasady zaporowe zdalnego zarządzania dziennikami zdarzeń są wyłączone | Włącz je na celu lub użyj zdalnego uruchamiania PowerShell |
| Zdalny eksport „sukces”, ale nie ma pliku | /r: zapisuje plik na maszynie zdalnej | Sprawdź dysk docelowy, np. \srv-01C$logs |
FAQ
Gdzie są przechowywane pliki EVTX na dysku?
W C:WindowsSystem32winevtLogs, jeden plik na kanał. Nazwy kanałów ze znakami ukośnika są kodowane w nazwie pliku, więc Microsoft-Windows-Sysmon/Operational staje się Microsoft-Windows-Sysmon%4Operational.evtx. Możesz przeglądać folder, ale eksportuj przez Podgląd zdarzeń lub wevtutil zamiast kopiować pliki na żywo.
Czy mogę pobrać dzienniki z maszyny, która nie uruchamia się?
Tak, i to jest jeden przypadek, kiedy kopiowanie działa. Zamontuj dysk na innym systemie lub uruchom z nośnika zewnętrznego. Gdy Windows nie działa, nic nie trzyma plików otwartych i możesz je kopiować bezpośrednio z WindowsSystem32winevtLogs.
Czy powinienem zapisać jako EVTX, XML czy tekst?
EVTX. Podgląd zdarzeń oferuje inne formaty, ale tracą strukturę lub powiększają plik. EVTX zawiera wszystkie pola i jest tym, co LogTotal czyta natywnie.
Jak daleko wstecz sięgają moje dzienniki?
Tak daleko, jak pozwala maksymalny rozmiar dziennika, i ani dnia dłużej. wevtutil gl
Czy bezpiecznie jest przesyłać dzienniki zdarzeń do narzędzia online?
LogTotal oczyszcza przesyłki przed analizą i nie zachowuje plików.
