Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Setup.evtx
JournalRisque : Prudence

Setup.evtx C:\Windows\System32\winevt\Logs\Setup.evtx

Journal des événements « Setup » : installation et configuration des composants de Windows (mises à jour, rôles, fonctionnalités). Format .evtx.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Setup.evtx est le journal « Installation » de l’Observateur d’événements. Il garde la trace des installations et configurations de composants : mises à jour installées, rôles et fonctionnalités ajoutés, actions de servicing. Il complète CBS.log sans le remplacer : ici, une ligne par opération réussie ou échouée, là le détail technique. Les journaux voisins ont d’autres sujets, Application.evtx pour les programmes et System.evtx pour Windows et ses pilotes.

Ce qu’il contient

  • Des événements de servicing (fournisseur Microsoft-Windows-Servicing), par exemple l’installation, réussie ou non, d’une mise à jour.
  • Peu de volume : le journal n’enregistre que des opérations ponctuelles.

Risques et bonnes pratiques

  • Le service Journal d’événements Windows gère le fichier : exportez ou effacez le journal avec wevtutil (en administrateur), jamais en touchant au fichier, et exportez avant d’effacer.
  • Il cite des noms de paquets et de KB. Rien de dangereux en soi, mais c’est utile à un attaquant qui cherche les correctifs manquants : protégez les exports.

Commandes utiles

Fenêtre de terminal
# 20 derniers événements du journal Setup
Get-WinEvent -LogName Setup -MaxEvents 20 | Select-Object TimeCreated, Id, ProviderName, Message


# Seulement les événements de servicing (mises à jour, rôles, fonctionnalités)
Get-WinEvent -FilterHashtable @{LogName="Setup"; ProviderName="Microsoft-Windows-Servicing"} -MaxEvents 30


# Taille maximale et mode de rétention du journal
wevtutil gl Setup


# Exporter une copie du journal
wevtutil epl Setup "$env:USERPROFILE\Desktop\Setup-copie.evtx"

Format

Fichier binaire XML (.evtx) géré par le service Journal d’événements Windows. Chaque événement porte un identifiant, un niveau, un fournisseur, un horodatage et un message. Un éditeur de texte ne le lit pas.

Rotation et archivage

La taille maximale et la rétention se règlent par journal (Observateur d’événements, stratégie de groupe ou wevtutil sl), et wevtutil gl Setup affiche les valeurs en vigueur. Archivez par export avec wevtutil epl.

Comment le lire

Dans l’Observateur d’événements, ouvrez Journaux Windows > Installation, puis filtrez par source (Microsoft-Windows-Servicing) ou par niveau. En PowerShell, Get-WinEvent -LogName Setup fait la même chose, et Get-WinEvent -Path .\Setup.evtx lit un fichier copié d’une autre machine. Pour un échec d’installation ou de mise à jour, croisez avec CBS.log et setupact.log.

Signaler une erreur