Gegenwärtig ist es noch eine kleine Sammlung von Templates und Hilfsdateien. Das Archiv enthält die folgenden Dateien:
- SID.inc.bt - Hilfsdatei mit Funktionen zur Anzeige von Microsoft Security Identifiern (SID)
- EVTXSubstArray.inc.bt - Hilfsdatei mit allgemeinen Datenstrukturen
- EVTXSubstArrayGeneric.bt - Analyse allgemeiner SubstitutionArrays
- EVTXSubstArraySystem.bt - Analyse des SubstitutionArrays des" System" Elements
Das Template für allgemeine SubstitutionArrays lässt sich immer anwenden. Positionieren Sie hierzu den Cursor unmittelbar vor die Datenstruktur und lassen Sie dann das Template EVTXSubstArrayGeneric ausführen. Das Template stellt daraufhin eine Liste aller Einträge im SubstitutionArray dar. Die einzelnen Einträge lassen sich weiter aufklappen, um den Datentyp und die Daten selbst in einer geeigneten Form darzustellen.
Im Fall des "System" Elements gibt es eine feste Zuordnung zwischen der Position im SubstitutionArray und einzelen Sub-Elementen beziehungsweise Attribut/Wert-Paaren. Das Template EVTXSubstArraySystem berücksichtigt dies und verwendet statt fortlaufend numerierter Einträge (weitestgehend) selbsterklärende Bezeichner.
Dieses Template ist sehr hilfreich, wenn ein Ereignisdatensatz isoliert vom zugehörigen Block interpretiert werden muss.
