ETW Autologger Windows 11: apa yang sebenarnya ditulis ke disk

Jawaban singkat

Di Windows 11 26H2 yang bersih terdaftar 39 sesi autologger ETW, 19 diaktifkan, tetapi yang benar-benar menulis ke disk sejak boot hanya 9. 3 lainnya hidup di buffer memori melingkar (nol biaya disk), 5 bekerja secara real-time tanpa file, dan 2 sesi Defender sebenarnya tidak dimulai. Generator peristiwa utama adalah Diagtrack-Listener: sekitar 110 MB peristiwa selama 2 jam saat layanan telemetri berjalan. Dari 32 MB yang ditempati file autologger, 28 MB adalah prealokasi kosong.

Status: katalog disusun dengan pembacaan statis registry; keadaan aktual diperiksa dengan snapshot 2 jam setelah boot. Satu build, satu mesin virtual; pemindahan ke konfigurasi lain (laptop dengan WiFi, sistem dengan ReFS) mengubah komposisi file aktif.

Klaim yang diuji

Kami menguji tiga klaim:

1. “Menonaktifkan autologger” adalah satu operasi yang jelas, dan komposisi sesi aktif itu kecil.
2. File autologger menempati ruang yang signifikan.
3. Trace diagnostik menghasilkan aliran peristiwa yang nyata saat idle.

Cakupan penelitian

• Windows 11 Pro, build 26300.9457 (26H2), mesin virtual tanpa modul WiFi;
• kunci registry Autologger: semua 39 sesi, flag peluncurannya, mode file dan provider yang terhubung;
• keadaan aktual sesi dan file 2 jam setelah boot sistem bersih;
• 1115 provider ETW terdaftar dan 1049 entri “provider dalam sesi”.

Tidak diperiksa: build lain, mesin dengan modul radio, volume ReFS dan beban RDP; perilaku sesi saat telemetri dinonaktifkan dalam jendela waktu yang panjang.

Metodologi

Katalog sesi disusun dari konfigurasi registry Autologger: flag peluncuran, mode file, batas dan provider. Keadaan aktual dibandingkan 2 jam setelah boot: sesi yang berjalan, buffer yang terpakai dan ukuran file. Estimasi volume peristiwa Diagtrack-Listener diperoleh dari jumlah buffer yang tercatat.

Hasil

Komposisi autologger

Kategori	Sesi
Terdaftar seluruhnya	39
Diaktifkan menurut registry (Start=1)	19
Dari jumlah itu yang benar-benar berjalan	17
Menulis ke disk sejak boot	9
Hidup di memori (buffering)	3
Real-time tanpa file	5
Konfigurasi tanpa nilai Start (tidak dimulai)	3

Dua sesi Defender yang diaktifkan menurut registry sebenarnya tidak dimulai: proteksi menggantinya dengan sesi sendiri yang berhak istimewa lebih rendah.

Sembilan sesi file: siapa dan berapa banyak

Sesi	Tujuan	Terpakai	Keistimewaan
Diagtrack-Listener	penerima telemetri	tidak ada file saat layanan hidup	sekitar 110 MB peristiwa selama 2 jam dikirim ke layanan telemetri
NetCore	diagnostik tumpukan jaringan	22 MB	file prealokasi; tercatat sekitar 2.5 MB peristiwa
RadioMgr	keadaan modul radio	6 MB	prealokasi; pada mesin tanpa WiFi — file kosong
WdiContextLog	diagnostik boot dan PnP	2.2 MB	rotasi per boot
NtfsLog	trace NTFS	1.7 MB	rotasi 8 file; satu-satunya aliran nyata setelah DiagTrack
WiFiSession	diagnostik WLAN	80 KB	tanpa WiFi hampir kosong
LwtNetLog	diagnostik jaringan	64 KB
RdpIdd-Trace	grafis RDP	64 KB
ReFSLog	trace ReFS	4 KB	tanpa volume ReFS tidak menulis

Total file autologger aktif menempati 32 MB, yang 28 MB di antaranya adalah prealokasi NetCore dan RadioMgr: file dengan ukuran seperti itu selalu ada, terlepas dari volume peristiwa yang sebenarnya.

Diagtrack-Listener: aliran berat tanpa file

Selama layanan telemetri berjalan, ia menangkap sesi secara real-time: tidak ada file, tetapi aliran peristiwa tidak hilang — sekitar 110 MB selama 2 jam. Dalam sesi terhubung 254 provider, sebagian besar memiliki tingkat pencatatan maksimum yang diaktifkan. Jika layanan telemetri dinonaktifkan, autologger akan terus menulis ke file tanpa konsumen — karena itu ia harus dimatikan bersama dengan layanannya.

Tingkat dan provider

Tingkat pencatatan ditetapkan bukan pada sesi, tetapi pada provider. Dari 1115 provider terdaftar, 607 tidak muncul di satu pun autologger — mereka terhubung hanya dalam sesi runtime. Dari 1049 entri “provider dalam sesi”, 425 adalah GUID tanpa nama terdaftar, terutama pengenal skenario telemetri.

Yang terkonfirmasi

• Teramati: 39 sesi di registry, 19 diaktifkan, 17 benar-benar berjalan, 9 menulis ke disk.
• Terukur: file autologger aktif menempati 32 MB; 28 MB di antaranya adalah prealokasi NetCore dan RadioMgr.
• Terukur: Diagtrack-Listener mencatat sekitar 110 MB peristiwa selama 2 jam saat layanan telemetri berjalan.
• Teramati: dua sesi Defender tidak dimulai karena digantikan oleh proteksi.

Yang tidak terkonfirmasi

• Komposisi dan volume pada build dan konfigurasi lain (WiFi, ReFS, beban RDP).
• Pertumbuhan jangka panjang file rotasi selama banyak boot.
• Dampak penonaktifan sesi individual terhadap kemampuan mendiagnosis masalah: kami tidak menonaktifkan sesi dalam penelitian ini.

Keterbatasan

Satu snapshot 2 jam setelah satu boot; jendela malam dan pemeliharaan tidak terwakili. Estimasi volume Diagtrack-Listener — berdasarkan buffer, bukan berdasarkan file. File prealokasi selalu ada, tetapi ukurannya bukan pengukuran volume yang “tercatat”.

Kesimpulan praktis

“Menonaktifkan semua autologger” secara massal tidak masuk akal: sebagian besar sesi memang tidak menulis ke disk, dan tiga sumber yang benar-benar berat bersifat titik. Jika tujuannya mengurangi telemetri, nonaktifkan Diagtrack-Listener bersama dengan layanan telemetri: di BoosterX ini dilakukan oleh pengaturan “Autologger ETW Latar Belakang”. Jika tujuannya ruang disk, pertimbangkan bahwa 28 MB dari 32 adalah prealokasi dua file, bukan log yang tumbuh. Nilai diagnostik sesi file lainnya (NTFS, WDI, jaringan) kami nilai lebih tinggi daripada harga disknya.

Pemulihan keadaan

Penelitian ini murni observasional: tidak ada sesi yang dinonaktifkan atau diubah. Sistem tetap dalam keadaan semula.

Sumber dan batasan

Katalog disusun oleh BoosterX Research pada mesin virtual yang dijelaskan. Penelitian ini milik pengembang BoosterX, pengembang memiliki kepentingan langsung terhadap hasilnya; metodologi dan keterbatasan dijelaskan di atas.

• Microsoft: Configuring and Starting an Autologger Session, diperiksa 2026-09-22.
• Microsoft: Event Tracing, diperiksa 2026-09-22.

Pemeriksaan terakhir: 2026-09-22.