适用于 Windows 事件日志文件 (.evtx) 的纯 Python 分析器
Python-evtx =========== 介绍 ------------------ Python-evtx 是一个专门用于最近的 Windows 事件日志文件（具有“.evtx”文件扩展名的文件）的 Python 解析器。 该模块提供了对文件和块头、记录模板和事件条目的程序化访问。 例如，您可以使用 Python-evtx 从 Mac 或 Linux 工作站查看 Windows 7 系统的事件日志。 结构定义和解析策略主要受到 Andreas Schuster 和其 Perl 实现“Parse-Evtx”的启发。
背景 ----------- 随着 Windows Vista 的发布,Microsoft 采用了更新的事件日志文件格式。 Windows XP 中使用的格式是一个循环缓冲区,其中每个结构包含一系列字符串。 查看器解析系统库文件中托管的模板,并将字符串插入到相应位置。 新的事件日志格式是专有的二进制 XML。 从 Windows 7 的事件日志文件中解压缩数据块,会生成一个具有可变架构的完整 XML 文档。 这些更改帮助 Microsoft 将文件格式调整为适合事件日志的实际使用情况,例如包含数百兆字节数据的长时间运行的日志,以及系统独立的模板解析。
相关工作 ---------- Andreas Schuster 在 2007 年发布了 .evtx 文件格式的第一个公开描述。 他是详细文档《介绍 Microsoft Vista 事件日志文件格式》的作者,该文档描述了格式的动机和细节。 Schuster 先生还维护了一个名为 "Parse-Evtx" 的 Perl 解析器。 在开发 Python-evtx 过程中,我广泛引用了该库的源代码。 Joachim Metz 在 2011 年也发布了一个跨平台、采用 LGPL 许可的基于 C++ 的解析器。 他的文档《Windows XML Event Log (EVTX): Analysis of EVTX》详细描述了较新的事件日志文件的结构和上下文。
Python-evtx 是一个纯粹的 Python 3 模块,因此在 Windows、macOS 和 Linux 等平台上都能正常工作。Python-evtx 运行于 Windows Vista 及更新版本的操作系统的事件日志文件上。这些文件通常具有 f
暂无开放 Issues，或尚未同步最近议题。