EVTX Аудитор событий Windows

EVTX Аудитор — автономное настольное приложение для проверки журналов Windows, находящихся в ZIP-архивах. Приложение анализирует современные Application.evtx, Security.evtx, System.evtx и legacy-журналы Windows XP/Server 2003 Application.evt, Security.evt, System.evt, группирует повторяющиеся проблемы и создаёт единый подробный HTML-отчёт по всем узлам.

Возможности

• графическое окно PySide6;
• рекурсивный поиск ZIP-архивов;
• безопасное извлечение только журналов EVTX/EVT;
• чтение legacy EVT журналов Windows XP/Server 2003 через классический Windows Event Log API;
• настраиваемый период анализа относительно самого позднего события каждого узла, по умолчанию 30 дней;
• штатные уровни Windows Critical и Error;
• опасные события учётных записей, групп, политики аудита, служб и Microsoft Defender;
• отдельные правила Windows XP EVT для Event ID 517, 529-539, 680, 624, 630, 642, 644, 632, 633, 636, 637, 660 и 661;
• выявление массовых ошибок входа Event ID 4625: не менее 10 попыток за 15 минут;
• объединение повторов с сохранением временных отметок, Record ID и технических полей;
• продолжение анализа после ошибки отдельного архива или журнала;
• один автономный HTML с поиском, фильтрами, навигацией, рекомендациями и контролем качества;
• готовая оконная сборка EVTXAuditor.exe.

Приложение работает локально и не выполняет сетевых запросов. Журналы и сведения из них никуда не передаются.

Запуск готовой сборки

1. Запустите EVTXAuditor.exe.
2. Выберите папку, содержащую каталоги узлов и ZIP-архивы.
3. Выберите папку сохранения отчёта.
4. Укажите период анализа в днях. По умолчанию используется 30 дней.
5. Нажмите «Начать проверку».
6. Дождитесь завершения. Во время анализа кнопка меняет цвет и показывает статус «Идёт сканирование...». HTML откроется автоматически.

Исходная папка по умолчанию:

C:\Users\impal\Downloads\АУДИТ 2

Статусы узлов

• Есть находки — данные обработаны, обнаружены проблемные события.
• Проблем не найдено — доступные данные обработаны полностью, правила не сработали.
• Неполные данные — часть архивов, журналов или записей не удалось прочитать.
• Ошибка обработки — по узлу нет достаточного объёма пригодных данных.

Статусы Неполные данные и Ошибка обработки нельзя интерпретировать как отсутствие проблем.

Правила анализа

Период каждого узла отсчитывается назад от самого позднего корректного события этого узла. Количество дней задаётся в окне приложения; значение по умолчанию — 30 дней. Дата ZIP и текущее время компьютера для расчёта не используются.

Отдельно проверяются очистка журналов, изменение политики аудита, создание и изменение учётных записей, добавление в группы безопасности, блокировки, установка служб и события Microsoft Defender.

Event ID 4625 становится тревогой при 10 и более неудачных входах за скользящее окно 15 минут для общей учётной записи или общего адреса источника.

Ограничение описаний

Архивный EVTX не всегда содержит человекочитаемый текст поставщика события. В этом случае приложение показывает встроенное русское описание известного правила либо честно указывает, что описание недоступно, и выводит Event ID, поставщика и исходные технические поля. Приложение не придумывает отсутствующий текст.

Для Windows XP .evt полное текстовое описание может быть недоступно на современной машине, если отсутствуют старые message DLL поставщика. В этом случае отчёт сохраняет Event ID, Source, Computer, время, EventType, RecordNumber, категорию и строки события.

Запуск из исходного кода

python -m venv .venv
.\.venv\Scripts\python.exe -m pip install -r requirements-dev.txt
.\.venv\Scripts\python.exe -m pip install -e .
.\.venv\Scripts\python.exe -m evtx_auditor.main

Тесты

$env:QT_QPA_PLATFORM = 'offscreen'
.\.venv\Scripts\python.exe -m pytest -v

Сборка EXE

powershell -ExecutionPolicy Bypass -File scripts\build.ps1

Скрипт сначала запускает тесты и compileall, затем создаёт один оконный EXE через PyInstaller и проверяет его скрытым запуском с аргументом --self-test.

Конфиденциальность исходных данных

• ZIP открываются только для чтения.
• Временные EVTX удаляются после обработки.
• Отчёт сначала записывается во временный файл и публикуется атомарно.
• Текст событий экранируется перед включением в HTML.
• Реальные EVTX и ZIP не входят в архив исходного кода.

Документация

• Полная инструкция пользователя: docs/USER_GUIDE.md.
• PDF-инструкция: docs/EVTXAuditor_User_Guide.pdf.
• PDF можно пересоздать командой:

python scripts\make_user_guide_pdf.py

Лицензия

Проект распространяется под лицензией MIT.

Разработал: Абдрахманов Амаль Даулетович.