evtx-file

EVTX（Windows XML Event Log）形式のWindowsイベントログファイルを解析してレコードを取得します。イベントログに含まれるシステム情報、イベントデータ、メッセージなどを構造化されたフィールドに変換して出力します。

コマンドプロパティ

項目説明
コマンドタイプドライバークエリ
必要な権限なし
ライセンス使用量カウントあり
並列実行非対応
分散実行データノードで実行（mapper）

構文

evtx-file [zippath=STR] [zipcharset=STR] FILE_PATH

オプション

zippath=STR
EVTXファイルが含まれるZIPファイルのパス。ZIPファイル内のEVTXファイルを直接取得する場合に使用します。
zipcharset=STR
ZIPファイルエントリの文字セット（デフォルト: utf-8）

対象

FILE_PATH
取得するEVTXファイルのパス。ワイルドカード（*）を使用して複数のファイルを指定できます。

出力フィールド

フィールドタイプ説明
_filestringEVTXファイル名
_timetimestampイベント生成日時
computerstringイベントを生成したコンピューター名
channelstringイベントチャネル名（例: System、Security、Application）
providerstringイベントプロバイダー名
event_idlongイベント識別子
tasklongイベントタスクカテゴリ
levellongイベント重大度。0: 常にログ（LogAlways）、1: 致命的（Critical）、2: エラー（Error）、3: 警告（Warning）、4: 情報（Information）、5: 詳細（Verbose）
record_idlongイベントレコード識別子
msgstringイベントメッセージ。イベントプロバイダーとイベント識別子に基づいてメッセージテンプレートを適用した結果
event_dataobjectイベントデータ。イベントに含まれる詳細データをキーと値のペアで含みます

エラーコード

解析エラー

N/A

ランタイムエラー
エラーコードメッセージ説明後処理動作
-cannot load evtx fileEVTXファイルを読み取れない場合クエリを停止します

説明

evtx-fileコマンドは、指定したEVTXファイルをバイナリXML形式で解析し、各イベントレコードを構造化されたフィールドに変換します。イベントログのSystem領域からプロバイダー、イベントID、チャネル、コンピューター名などのメタデータを抽出し、EventDataまたはUserData領域からイベントの詳細データを抽出します。

イベントメッセージテンプレートは、組み込みメッセージマップとevtx-messageルックアップテーブルからプロバイダー:イベントID形式のキーで検索します。ルックアップテーブルに登録されたメッセージが組み込みメッセージより優先されます。メッセージテンプレートが存在する場合はイベントデータの値を代入してmsgフィールドに割り当てます。メッセージテンプレートがなくイベントデータが単一値の場合はその値をmsgフィールドに割り当てます。

event_dataフィールドのキー名はキャメルケース（CamelCase）からスネークケース（snake_case）に自動変換されます。例えばSubjectUserNameはsubject_user_nameに変換されます。

ZIPファイル内のEVTXファイルを取得するには、zippathオプションにZIPファイルのパスを指定し、対象にZIP内のEVTXファイルパスを指定します。

使用例

  1. EVTXファイルを取得する

    evtx-file /opt/logpresso/evidence/System.evtx

    指定したパスのEVTXファイルからすべてのイベントレコードを取得します。

  2. ワイルドカードで複数のEVTXファイルを取得する

    evtx-file /opt/logpresso/evidence/*.evtx

    指定したディレクトリ内のすべてのEVTXファイルからイベントレコードを取得します。

  3. ZIPファイル内のEVTXファイルを取得する

    evtx-file zippath=/opt/logpresso/evidence/logs.zip System.evtx

    ZIPファイル内のSystem.evtxファイルからイベントレコードを取得します。

  4. 特定のイベントIDをフィルタリングする

    evtx-file /opt/logpresso/evidence/Security.evtx
| search event_id == 4624

    セキュリティイベントログからログオン成功イベント（イベントID 4624）のみをフィルタリングします。