👁‍🗨Hello world~

Трассировка событий Windows: ETW, когда логи бессильны

• ETW (Event Tracing for Windows) — это механизм трассировки и диагностики событий Windows. Он позволяет собирать подробную информацию о работе ОС, приложений и драйверов в реальном времени. ETW используется для анализа производительности, отладки, мониторинга системы и диагностики проблем.

• ETW состоит из нескольких компонентов, к примеру из:

• Поставщиков событий (Event Providers): Компоненты, которые генерируют события. Поставщиками могут быть ядро Windows, драйверы устройств, приложения или службы.

• Контроллеров (Controllers): Управляют процессом сбора событий. Они включают или выключают трассировку, настраивают параметры сбора данных и указывают, куда сохранять данные (например, в файл или в реальном времени).

• Потребителей (Consumers): Получают и обрабатывают события. Это могут быть утилиты, такие как tracelog, xperf, или специализированные программы для анализа данных.

• Сессий трассировки (Trace Sessions): Контейнеры, в которых происходит сбор событий. В одной системе может быть несколько сессий, каждая из которых может собирать данные от разных поставщиков.

• Инструменты для работы с ETW:

• Windows Performance Analyzer (WPA): Графический инструмент для анализа данных ETW.
• Logman: Утилита командной строки для управления сессиями трассировки.
• Tracelog: Утилита для настройки и запуска трассировки.
• PerfView: Утилита от Microsoft для анализа производительности с использованием ETW.

• Для нас же ETW интересен, так как играет важную роль в EDR и помогает отыскивать вредоносы. В будущем поговорим про EDR. Удачи!

• Поддержать автора монеткой: @v_meshke