Log peristiwa Windows juga merupakan file, tetapi biasanya dikunci oleh Windows (Layanan Log Peristiwa) dan tidak mungkin untuk membuka file-file ini di sistem langsung. Tetapi jika komputer dimulai dari disk lain atau drive sistem dari mesin yang dianalisis terhubung ke komputer lain, Anda dapat membaca log peristiwa sebagai file. Lokasi default log peristiwa di Vista/2008 dan yang lebih baik adalah C:\Windows\System32\winevt\Logs\.