Nhật ký sự kiện Windows cũng là các tệp, nhưng chúng thường bị Windows khóa (Dịch vụ Nhật ký Sự kiện) và không thể mở các tệp này trên hệ thống trực tiếp. Nhưng nếu máy tính được khởi động từ một đĩa khác hoặc ổ đĩa hệ thống từ máy được phân tích được kết nối với một máy tính khác, bạn có thể đọc nhật ký sự kiện dưới dạng tệp. Vị trí mặc định của nhật ký sự kiện trên Vista / 2008 và tốt hơn là C: \ Windows \ System32 \ winevt \ Logs \.