Windowsのイベントログは、システムやアプリケーションの動作に関する情報を記録したWindowsシステムのログです。これらのログは、「.evtx」という拡張子のファイルで保存され、セキュリティの監視や問題のトラブルシューティングに利用されます。Pythonを使って、このようなイベントログを解析し、特定のキーワードを含むイベントのみを抽出する方法を紹介します。
Windowsイベントログの解析とフィルタリングの手順
1. pyevtxライブラリのインストール
Windowsのイベントログを解析するために必要なpyevtxライブラリを次のコマンドを使用してインストールして下さい。インストール済みの方はスキップして下さい。
pip install pyevtx
2. イベントログファイルの読み込み
Pythonでイベントログファイル（.evtxファイル）を読み込みます。evtx_fileにはイベントログファイルのパスを定数で指定します。この部分は環境に合わせて変更して下さい。
import pyevtx # イベントログファイルのパス evtx_file = "C:\\Windows\\System32\\winevt\\Logs\\Security.evtx" # イベントログファイルを開く with pyevtx.open(evtx_file) as log: for record in log.records: # 各レコードの処理 print(record)
3. 特定のキーワードを含むイベントをフィルタリングする
先ほどの実装に特定のキーワードを抽出する処理を追加します。desired_keywordで抽出したいキーワードを指定します。実装例では認証に関わるイベントを抽出するため、「ログオン成功」という文言を指定しています。
import pyevtx evtx_file = "C:\\Windows\\System32\\winevt\\Logs\\Security.evtx" desired_keyword = "ログオン成功" # 例としてログオン成功を示すキーワードを指定 with pyevtx.open(evtx_file) as log: for record in log.records: if desired_keyword in record.strings: # キーワードを含むイベントの処理 print(record)
まとめ
Pythonを使ってWindowsのイベントログを解析し、特定のキーワードを含むイベントをフィルタリングする方法を解説しました。pyevtxライブラリでは、GUIツールでは難しい柔軟かつ効率的なログ解析が可能です。この手法を活用して、セキュリティインシデント時の分析などの用途で利用することが可能です。例えば、実装例のようにログオンに関わるイベントを分析することで、ユーザーのアクティビティをトラッキングし、不審なアクセスを検出します。
