Lexfo a publié un court article dans MISC 30 dans lequel est décrit la procédure pour récupérer les event logs effacés d'un système Windows :

Tout le monde connait les journaux d'évènements (ou event logs) sous Windows. C'est en quelque sorte l'équivalent des fichiers de logs sous Linux. Ces journaux sont visualisables via l'outil Event Viewer et sont au nombre de trois: le journal des applications, de sécurité et du système. Les noms sont assez significatifs pour éviter d'expliquer leurs rôles respectifs.

Via l'application Event Viewer, il est possible d'effacer totalement tous les enregistrements de chaque journal d'évènements. La problématique est alors la suivante: comment récupérer ces enregistrements ? Une telle problématique peut se présenter typiquement dans le cadre d'une analyse forensique lorsqu'une personne a volontairement effacé les évènements dans le but de "cacher" son activité sur le serveur en question.

La procédure expliquée ne s'applique pas à Windows Vista, le format des event logs ayant changé. Ces derniers sont maintenant basés sur une technologie XML.

La technique décrite dans l'article a été utilisée lors d'une analyse forensique chez un client, mais sans une dose de patience et une connaissance des outils adéquats, il aurait été difficile d'aboutir à un résultat concluant.