EVT, EVTX, ETL, DMP : quel fichier de diagnostic Windows consulter

Un même incident Windows peut laisser des traces dans plusieurs de ces formats à la fois, et confondre lequel consulter en premier est fréquent : chacun capture une facette différente du problème, à une fréquence et avec un outil d’analyse différents.

Format	Contenu	Fréquence d'écriture	Outil de lecture	Meilleur usage
EVT	Événements système (legacy)	Ponctuelle	Observateur d'événements	Journaux Windows 2000/XP/2003 archivés
EVTX	Événements système	Ponctuelle	Observateur d'événements, Get-WinEvent	Erreur applicative, connexion, audit
ETL	Trace de performance ETW	Très haute fréquence	Windows Performance Analyzer	Latence, appels système, diagnostic de performance
DMP	État mémoire au plantage	Instantané unique	WinDbg	Cause exacte d'un crash ou d'un écran bleu

L’EVT est l’ancien format binaire des journaux d’événements, utilisé jusqu’à Windows XP et Server 2003 : un tampon circulaire de taille fixe où les enregistrements les plus anciens sont écrasés par les nouveaux. Il a été remplacé par l’EVTX à partir de Vista, structuré en blocs XML binaires de 64 Kio, aujourd’hui la référence pour les journaux Application, Sécurité et Système, consultable via l’Observateur d’événements ou, pour une analyse à grande échelle, la commande PowerShell Get-WinEvent.

L’ETL capture un flux d’événements produit par Event Tracing for Windows (ETW), à une fréquence potentiellement de dizaines de milliers d’événements par seconde, sans commune mesure avec un journal EVTX, qui n’enregistre que des événements ponctuels et relativement rares. Un ETL sert au diagnostic de performance (temps CPU, appels système, latences) plutôt qu’à l’audit d’événements isolés, et se consulte avec Windows Performance Analyzer plutôt que dans un lecteur générique.

Le DMP diffère des trois autres par nature : ce n’est pas un journal d’événements dans la durée, mais un instantané unique de la mémoire au moment précis d’un plantage. Le « minidump » courant ne contient qu’un sous-ensemble ciblé (pile d’appel, modules chargés, registres du processeur), quand un vidage complet ou noyau peut atteindre la taille de la RAM installée. WinDbg reste l’outil de référence pour en extraire la cause exacte, à condition de disposer des symboles de débogage correspondant à la version exacte du programme concerné.

En pratique : consulter l’EVTX pour une erreur ponctuelle ou un événement de sécurité, l’ETL pour un problème de performance qui se répète, et le DMP pour identifier la cause précise d’un plantage ou d’un écran bleu déjà survenu ; l’EVT ne concerne plus que d’anciens systèmes ou des archives forensiques.