Come cancellare i registri eventi di Windows (EVTX) e i registri di traccia degli eventi (ETL)?

EVTX è il formato di file che Windows usa per i suoi registri eventi da Vista e Server 2008, sostituendo il vecchio formato EVT. Questi file si trovano in C:\Windows\System32\winevt\Logs, e registrano una traccia di controllo davvero completa di ciò che accade sul sistema: accessi, creazione di processi, uso di privilegi, accesso alle credenziali e modifiche di configurazione, tra molti altri tipi di eventi.

Ogni canale di registro ha il proprio file: Security.evtx (il registro di controllo della sicurezza), System.evtx (eventi del sistema operativo), Application.evtx (eventi delle applicazioni), oltre a canali personalizzati che strumenti specifici creano per sé stessi (Sysmon, registrazione operativa di PowerShell, Windows Update e altro).

Internamente, un file EVTX è organizzato come una serie di blocchi, ciascuno contenente un'intestazione e un insieme di record di eventi. Ogni record è essenzialmente XML reso tramite un modello binario, con i valori specifici (nomi account, nomi processi, indirizzi IP e così via, a seconda dell'evento) sostituiti al suo interno. Gli investigatori che leggono questi file nel Visualizzatore eventi, o in strumenti forensi dedicati che mappano migliaia di ID evento documentati, vedono la versione completamente resa.

I file .etl sono prodotti da Event Tracing for Windows (ETW), un framework di tracciamento di livello più basso e ad alte prestazioni su cui sono costruite molte delle funzioni diagnostiche e di registrazione proprie di Windows, incluso parte di ciò che alla fine emerge nei canali EVTX. A differenza di EVTX, che risiede in un'unica cartella centrale, i file .etl compaiono sparsi in diverse directory a seconda di quale componente li ha creati.

PrivaZer cancella entrambi insieme: i registri eventi EVTX nella loro posizione centrale, e i file di traccia .etl nelle varie directory dove Windows e i suoi componenti li lasciano.

Sì. PrivaZer rimuove i file .evtx da C:\Windows\System32\winevt\Logs, insieme ai file di traccia .etl dalle loro varie posizioni.

Sì, è proprio questo lo scopo di un registro: una voce per un accesso, l'avvio di un processo o una modifica di configurazione rimane registrata molto tempo dopo che il momento stesso è passato, finché il file di registro non viene ruotato, archiviato o cancellato.

Cancellare i registri eventi non influisce sui tuoi file, sui programmi installati o sulla stabilità del sistema; Windows inizia immediatamente a registrare di nuovo nuovi eventi. Il compromesso da conoscere: stai anche cancellando la tua registrazione storica, utile se stai risolvendo un problema ricorrente, o se la diagnostica di Windows stessa si basa sulla cronologia recente dei registri. Se stai attivamente investigando un problema sul tuo PC, potrebbe valere la pena attendere che sia risolto prima di cancellare questi registri.

Sì, immediatamente e continuamente. Windows registra eventi come parte continua del suo funzionamento, quindi nuove voci iniziano ad apparire subito, ed è previsto. Esegui PrivaZer periodicamente se preferisci mantenere la cronologia ridotta.