Autologger ETW de Windows 11: qué escribe realmente en el disco
En esta página
Respuesta breve
Sección titulada «Respuesta breve»En una instalación limpia de Windows 11 26H2 hay registradas 39 sesiones de autologger de ETW, 19 están habilitadas, pero solo 9 escriben realmente en disco desde el arranque. Otras 3 viven en un búfer circular en memoria (cero coste de disco), 5 funcionan en tiempo real sin archivo, y 2 sesiones de Defender en realidad no arrancan. El principal generador de eventos es Diagtrack-Listener: alrededor de 110 MB de eventos en 2 horas con el servicio de telemetría en funcionamiento. De los 32 MB ocupados por los archivos de autologger, 28 MB son preasignaciones vacías.
Estado: el catálogo se recopiló mediante lectura estática del registro; el estado real se verificó con una instantánea 2 horas después del arranque. Una compilación, una máquina virtual; trasladar esto a otras configuraciones (portátiles con WiFi, sistemas con ReFS) cambia la composición de los archivos activos.
Afirmación verificable
Sección titulada «Afirmación verificable»Verificamos tres afirmaciones:
- «Desactivar los autologgers» es una operación única y comprensible, y la composición de sesiones activas es pequeña.
- Los archivos de autologger ocupan un espacio significativo.
- Las trazas de diagnóstico generan un flujo notable de eventos en reposo.
Alcance del estudio
Sección titulada «Alcance del estudio»- Windows 11 Pro, build 26300.9457 (26H2), máquina virtual sin módulo WiFi;
- la clave del registro Autologger: las 39 sesiones, sus indicadores de arranque, modos de archivo y proveedores conectados;
- el estado real de las sesiones y los archivos 2 horas después del arranque de un sistema limpio;
- 1115 proveedores ETW registrados y 1049 entradas de «proveedor en sesión».
No se verificaron: otras compilaciones, máquinas con módulos de radio, volúmenes ReFS y carga RDP; el comportamiento de las sesiones con la telemetría desactivada en una ventana prolongada.
Metodología
Sección titulada «Metodología»El catálogo de sesiones se recopiló a partir de la configuración del registro Autologger: indicador de arranque, modo de archivo, límites y proveedores. El estado real se comparó 2 horas después del arranque: sesiones en ejecución, búferes ocupados y tamaños de archivo. La estimación del volumen de eventos de Diagtrack-Listener se obtuvo por la cantidad de búferes escritos.
Resultados
Sección titulada «Resultados»Composición de los autologgers
Sección titulada «Composición de los autologgers»| Categoría | Sesiones |
|---|---|
| Registradas en total | 39 |
| Habilitadas según el registro (Start=1) | 19 |
| De ellas, realmente iniciadas | 17 |
| Escriben en disco desde el arranque | 9 |
| Viven en memoria (almacenamiento en búfer) | 3 |
| Tiempo real sin archivo | 5 |
| Configuración sin valor Start (no arrancan) | 3 |
Dos sesiones de Defender, habilitadas según el registro, en realidad no arrancan: la protección las sustituye por su propia sesión de menores privilegios.
Nueve sesiones de archivo: quién y cuánto
Sección titulada «Nueve sesiones de archivo: quién y cuánto»| Sesión | Propósito | Ocupado | Particularidad |
|---|---|---|---|
| Diagtrack-Listener | receptor de telemetría | sin archivo con el servicio activo | alrededor de 110 MB de eventos en 2 horas van al servicio de telemetría |
| NetCore | diagnóstico de la pila de red | 22 MB | archivo preasignado; escritos alrededor de 2.5 MB de eventos |
| RadioMgr | estado de los módulos de radio | 6 MB | preasignado; en una máquina sin WiFi es un archivo vacío |
| WdiContextLog | diagnóstico de arranque y PnP | 2.2 MB | rotación por arranques |
| NtfsLog | traza de NTFS | 1.7 MB | rotación de 8 archivos; el único flujo notable después de DiagTrack |
| WiFiSession | diagnóstico de WLAN | 80 KB | casi vacío sin WiFi |
| LwtNetLog | diagnóstico de red | 64 KB | |
| RdpIdd-Trace | gráficos de RDP | 64 KB | |
| ReFSLog | traza de ReFS | 4 KB | sin volúmenes ReFS no escribe |
En total, los archivos de los autologgers activos ocupan 32 MB, de los cuales 28 MB son la preasignación de NetCore y RadioMgr: archivos de ese tamaño existen siempre, independientemente del volumen real de eventos.
Diagtrack-Listener: un flujo pesado sin archivo
Sección titulada «Diagtrack-Listener: un flujo pesado sin archivo»Mientras el servicio de telemetría funciona, intercepta la sesión en tiempo real: no hay archivo, pero el flujo de eventos no desaparece — alrededor de 110 MB en 2 horas. En la sesión hay conectados 254 proveedores, y en la mayoría está habilitado el nivel máximo de registro. Si se desactiva el servicio de telemetría, el autologger seguirá escribiendo en el archivo sin consumidor — por eso hay que apagarlo junto con el servicio.
Niveles y proveedores
Sección titulada «Niveles y proveedores»El nivel de registro no se define en la sesión, sino en los proveedores. De los 1115 proveedores registrados, 607 no aparecen en ningún autologger — se conectan solo en sesiones de runtime. De las 1049 entradas de «proveedor en sesión», 425 son GUID sin nombres registrados, en su mayoría identificadores de escenario de telemetría.
Lo que se confirmó
Sección titulada «Lo que se confirmó»- Observado: 39 sesiones en el registro, 19 habilitadas, 17 realmente iniciadas, 9 escriben en disco.
- Medido: los archivos de los autologgers activos ocupan 32 MB; 28 MB de ellos son la preasignación de NetCore y RadioMgr.
- Medido: Diagtrack-Listener escribe alrededor de 110 MB de eventos en 2 horas con el servicio de telemetría en funcionamiento.
- Observado: dos sesiones de Defender no arrancan debido a la sustitución por parte de la protección.
Lo que no se confirmó
Sección titulada «Lo que no se confirmó»- La composición y los volúmenes en otras compilaciones y configuraciones (WiFi, ReFS, carga RDP).
- El crecimiento a largo plazo de los archivos de rotación a lo largo de muchos arranques.
- El impacto de desactivar sesiones individuales en la diagnosticabilidad de problemas: no desactivamos sesiones en este estudio.
Limitaciones
Sección titulada «Limitaciones»Una sola instantánea 2 horas después de un solo arranque; las ventanas nocturnas y de mantenimiento no están representadas. La estimación del volumen de Diagtrack-Listener es por búferes, no por archivo. Los archivos preasignados existen siempre, pero su tamaño no es una medición del volumen «escrito».
Conclusión práctica
Sección titulada «Conclusión práctica»Desactivar masivamente «todos los autologgers» no tiene sentido: la mayoría de las sesiones de todos modos no escriben en disco, y las tres fuentes realmente pesadas son puntuales. Si el objetivo es reducir la telemetría, desactive Diagtrack-Listener junto con el servicio de telemetría: en BoosterX esto lo hace el ajuste «Autologgers ETW en segundo plano». Si el objetivo es el espacio en disco, tenga en cuenta que 28 MB de 32 son la preasignación de dos archivos, y no registros en crecimiento. El valor diagnóstico de las demás sesiones de archivo (NTFS, WDI, red) lo valoraríamos por encima de su coste en disco.
Restauración del estado
Sección titulada «Restauración del estado»El estudio es puramente observacional: ninguna sesión se desactivó ni se modificó. El sistema permaneció en su estado inicial.
Fuentes y límites
Sección titulada «Fuentes y límites»El catálogo fue recopilado por BoosterX Research en la máquina virtual descrita. El estudio pertenece al desarrollador de BoosterX, y el desarrollador tiene un interés directo en el resultado; la metodología y las limitaciones se describen arriba.
- Microsoft: Configuring and Starting an Autologger Session, verificado el 2026-09-22.
- Microsoft: Event Tracing, verificado el 2026-09-22.
Última verificación: 2026-09-22.