01Konum
- C:\Windows\System32\winevt\Logs\*.evtx (e.g. Security.evtx, System.evtx, Application.evtx, Microsoft-Windows-TaskScheduler%4Operational.evtx)
- C:\Windows\System32\config\*.evt (Windows 2000, XP, 2003; EVT format)
02Yanıtladığı sorular
- Bir sağlayıcı hangi bilgisayarda ve hangi kullanıcı bağlamında ne kaydetti?
- Bir hizmet kuruldu mu (4697) veya zamanlanmış görev oluşturuldu mu (4698)?
- Security günlüğü temizlendi mi (1102)?
- Kayıt kimliklerinde veya parça sağlama toplamlarında boşluk ya da tutarsızlık var mı?
03Biçim ve sürümler
| Biçim | 4096 baytlık dosya başlığı ('ElfFile\0', parça numaraları, sonraki kayıt kimliği, biçim sürümü, dirty/full bayrakları, CRC32), ardından 65536 baytlık parçalar ('ElfChnk\0', ortak dize ve şablon ofsetli 512 baytlık başlık, başlık ve kayıtların CRC32 değeri) ve olay kayıtları ('**\0\0', boyut, kayıt kimliği, yazma FILETIME değeri, [MS-EVEN6]'da tanımlı ikili XML). |
|---|---|
| Geçerli olduğu sürümler | Windows Vista ve sonrası (biçim 3.1; Windows 10 2004'ten itibaren 3.2). Daha eski sistemler EVT biçimini kullanır. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| EventRecordID | Olay kaydedilirken atanan kayıt numarası. |
| Provider | Olayı kaydeden sağlayıcı (Name/Guid veya eski sağlayıcılar için EventSourceName). |
| EventID / Version / Level / Task / Opcode / Keywords | Sağlayıcının tanımladığı tanımlayıcılar ve sınıflandırma. |
| TimeCreated | Olayın ne zaman kaydedildiğini belirten zaman damgası (SystemTime veya RawTime). |
| Channel / Computer | Günlük kanalı ve olayın gerçekleştiği bilgisayarın adı. |
| Security / Execution | Olayı kaydeden kullanıcı; kaydeden işlem ve iş parçacığı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Event record written time | FILETIME (UTC) | Kaydın yazıldığı (günlüğe alındığı) tarih ve saat. |
| TimeCreated (System element) | Event schema time stamp | İşlenmiş XML'de sunulan kayıt zamanı; kayıt başlığındaki değerle karşılaştırın. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Yalnızca Security, System ve Application değil, Operational kanallar dahil tüm .evtx dosyalarını toplayın.
- Ayrıştırmadan önce dosya başlığı bayraklarını (dirty, full) ve parça CRC32 değerlerini denetleyin.
- İletileri kaynak sistemle aynı Windows sürümündeki sağlayıcı üst verisiyle işleyin.
- Kayıt kimliği sürekliliğini ve günlük temizleme olaylarını inceleyin; ardından kayıt defteri ve dosya sistemi artefaktlarıyla ilişkilendirin.
07Yorum tuzakları
- Olay kimlikleri küresel olarak benzersiz değildir; yalnızca belirli bir sağlayıcının belirli bir sürümü içinde anlamlıdır.
- Kayıtlar az miktarda okunabilir metin içerir; iletiler DLL ve EXE dosyalarında saklanan sağlayıcı şablonlarına bağlıdır.
- Birçok Security olayı denetim ilkesine bağlıdır; ör. 4697 (Audit Security System Extension) ve 4698 (Audit Other Object Access Events).
09Kaynaklar
- Windows XML Event Log (EVTX) format libyal / libevtx (J. Metz) · erişim 2026-10-14
- Windows Event Log ForensicArtifacts / artifacts-kb · erişim 2026-10-14
- SystemPropertiesType Complex Type (event schema) Microsoft Learn · erişim 2026-10-14
- 1102(S): The audit log was cleared. Microsoft Learn · erişim 2026-10-14
- 4697(S): A service was installed in the system. Microsoft Learn · erişim 2026-10-14
- 4698(S): A scheduled task was created. Microsoft Learn · erişim 2026-10-14