司法取证必须导出为原生.evtx格式，首选事件查看器：1. Win+R输入eventvwr.msc；2. 展开Windows日志→安全；3. 右键安全日志选“将所有事件另存为…”；4. 命名含日期时间戳；5. 保存类型选Windows事件日志(*.evtx)；6. 点击保存。
司法取证要求日志原始结构、时间戳、数字签名与完整元数据不可篡改，必须导出为原生 .evtx 格式，不能用 CSV 或 TXT 替代，否则将丧失证据链完整性与法庭采信效力。
通过事件查看器导出安全日志为标准 EVTX 文件
这是最权威、最易被司法机关认可的导出路径，全程由系统内建组件执行，不经过第三方工具转换，保留全部 XML 结构、事件属性及二进制签名字段。
1、按 Win + R 打开“运行”对话框，输入 eventvwr.msc 并回车，启动事件查看器。
2、在左侧导航树中依次展开【Windows 日志】→【安全】，确保右侧窗格显示的是“安全”日志的完整条目列表（若为空，请确认当前账户具有“管理审核策略”权限，否则无法读取安全日志）。
3、右键单击【安全】节点 → 选择【将所有事件另存为…】。⚠️注意：必须选此项，而非“将已筛选的日志另存为”，后者会丢失未显示但实际存在的审计事件，导致取证范围不全。
4、在保存对话框中，手动输入文件名，建议格式为：Security_取证编号_20261014_1520.evtx（含日期与精确到分钟的时间戳，符合《电子数据取证规则》第十二条对时间标识的要求）。
5、在【保存类型】下拉菜单中，确认已选中Windows 事件日志 (*.evtx)，不得选择其他格式。
6、点击【保存】，系统立即写入完整二进制日志流，导出完成。
使用 wevtutil 命令行强制导出（适用于无 GUI 环境或需脚本化固化）
当目标设备处于 Server Core 模式、远程桌面会话受限，或需嵌入自动化取证脚本时，wevtutil 是唯一可绕过图形界面直接调用内核日志服务的命令行工具，其输出与事件查看器完全一致。
方法一：基础导出（管理员权限必需）
1、右键【开始】→【终端（管理员）】，确认窗口标题栏含“管理员”字样。
2、执行命令：wevtutil epl Security C:\forensic\Security_20261014.evtx
这一步会将整个安全日志导出为标准 .evtx 文件，【epl 参数表示 Export Public Log，是唯一支持导出安全日志的合法模式，不可替换为 el 或 qe】。
方法二：带哈希校验的导出（推荐用于正式取证）
1、先执行导出：wevtutil epl Security C:\forensic\Security_raw.evtx
2、立即生成 SHA256 校验值：certutil -hashfile C:\forensic\Security_raw.evtx SHA256 > C:\forensic\Security_raw.sha256
该操作生成的哈希值须与原始日志一同封存，作为后续比对是否被篡改的法定依据。
PowerShell 导出并锁定只读属性（防止误修改）
适用于需要在导出后立即施加文件系统级保护的场景，比如将日志拷贝至只读U盘前做最终加固。
① 以管理员身份运行 PowerShell。
② 执行导出命令：Get-WinEvent -LogName 'Security' | Export-Clixml -Path "C:\forensic\Security_ps.xml"（此步仅为中间格式，不用于提交）。
③ 将上一步生成的 XML 转换回标准 EVTX：wevtutil im C:\forensic\Security_ps.xml /rf:C:\forensic\Security_final.evtx。
④ 立即设置只读与隐藏属性：attrib +r +h C:\forensic\Security_final.evtx。
这一步操作后，文件在资源管理器中不可双击编辑，也无法被常规删除或覆盖，【+r 属性是司法取证中证明“原始状态未被干预”的关键技术动作】。
