ETW autologger di Windows 11: cosa scrivono davvero su disco

Risposta breve

In una Windows 11 26H2 pulita sono registrate 39 sessioni di autologger ETW, 19 sono abilitate, ma solo 9 scrivono realmente su disco dall’avvio. Altre 3 vivono in un buffer circolare in memoria (zero costi su disco), 5 lavorano in tempo reale senza file, e 2 sessioni Defender di fatto non partono. Il principale generatore di eventi è Diagtrack-Listener: circa 110 MB di eventi in 2 ore con il servizio di telemetria attivo. Dei 32 MB occupati dai file degli autologger, 28 MB sono preallocazioni vuote.

Stato: il catalogo è stato raccolto con una lettura statica del Registry; lo stato effettivo è stato verificato con un’istantanea 2 ore dopo l’avvio. Una build, una macchina virtuale; il trasferimento su altre configurazioni (portatili con WiFi, sistemi con ReFS) cambia la composizione dei file attivi.

Affermazione verificabile

Abbiamo verificato tre affermazioni:

1. «Disattivare gli autologger» è un’unica operazione chiara, e la composizione delle sessioni attive è ridotta.
2. I file degli autologger occupano uno spazio significativo.
3. Le tracce diagnostiche producono un flusso di eventi evidente in idle.

Ambito della ricerca

• Windows 11 Pro, build 26300.9457 (26H2), macchina virtuale senza modulo WiFi;
• chiave di registro Autologger: tutte le 39 sessioni, i loro flag di avvio, le modalità dei file e i provider collegati;
• stato effettivo delle sessioni e dei file 2 ore dopo l’avvio di un sistema pulito;
• 1115 provider ETW registrati e 1049 voci «provider in sessione».

Non verificati: altre build, macchine con moduli radio, volumi ReFS e carico RDP; comportamento delle sessioni con telemetria disattivata su una finestra prolungata.

Metodologia

Il catalogo delle sessioni è stato raccolto dalla configurazione del Registry Autologger: flag di avvio, modalità del file, limiti e provider. Lo stato effettivo è stato confrontato 2 ore dopo l’avvio: sessioni avviate, buffer occupati e dimensioni dei file. La stima del volume di eventi di Diagtrack-Listener è stata ottenuta dal numero di buffer scritti.

Risultati

Composizione degli autologger

Categoria	Sessioni
Registrate in totale	39
Abilitate da Registry (Start=1)	19
Di cui realmente avviate	17
Scrivono su disco dall’avvio	9
Vivono in memoria (buffering)	3
Tempo reale senza file	5
Configurazione senza valore Start (non partono)	3

Due sessioni Defender, abilitate da Registry, di fatto non partono: la protezione le sostituisce con una propria sessione di privilegi inferiori.

Nove sessioni su file: chi e quanto

Sessione	Scopo	Occupato	Particolarità
Diagtrack-Listener	ricevitore di telemetria	nessun file con il servizio attivo	circa 110 MB di eventi in 2 ore vanno al servizio di telemetria
NetCore	diagnostica dello stack di rete	22 MB	file preallocato; scritti circa 2.5 MB di eventi
RadioMgr	stato dei moduli radio	6 MB	preallocato; su una macchina senza WiFi è un file vuoto
WdiContextLog	diagnostica di avvio e PnP	2.2 MB	rotazione per avvio
NtfsLog	traccia NTFS	1.7 MB	rotazione di 8 file; l’unico flusso evidente dopo DiagTrack
WiFiSession	diagnostica WLAN	80 KB	senza WiFi quasi vuoto
LwtNetLog	diagnostica di rete	64 KB
RdpIdd-Trace	grafica RDP	64 KB
ReFSLog	traccia ReFS	4 KB	senza volumi ReFS non scrive

In totale i file degli autologger attivi occupano 32 MB, di cui 28 MB sono la preallocazione di NetCore e RadioMgr: file di tali dimensioni esistono sempre, indipendentemente dal volume reale di eventi.

Diagtrack-Listener: flusso pesante senza file

Finché il servizio di telemetria è attivo, intercetta la sessione in tempo reale: il file non c’è, ma il flusso di eventi non scompare — circa 110 MB in 2 ore. Alla sessione sono collegati 254 provider, per la maggior parte è abilitato il livello massimo di registrazione. Se il servizio di telemetria viene disattivato, l’autologger continuerà a scrivere su file senza un consumatore — per questo va spento insieme al servizio.

Livelli e provider

Il livello di registrazione non è impostato sulla sessione, ma sui provider. Dei 1115 provider registrati, 607 non compaiono in nessun autologger — si collegano solo in sessioni runtime. Delle 1049 voci «provider in sessione», 425 sono GUID senza nomi registrati, in prevalenza identificatori di scenario della telemetria.

Cosa è confermato

• Osservato: 39 sessioni nel Registry, 19 abilitate, 17 realmente avviate, 9 scrivono su disco.
• Misurato: i file degli autologger attivi occupano 32 MB; 28 MB di questi sono la preallocazione di NetCore e RadioMgr.
• Misurato: Diagtrack-Listener registra circa 110 MB di eventi in 2 ore con il servizio di telemetria attivo.
• Osservato: due sessioni Defender non partono a causa della sostituzione da parte della protezione.

Cosa non è confermato

• Composizione e volumi su altre build e configurazioni (WiFi, ReFS, carico RDP).
• Crescita a lungo termine dei file di rotazione su molti avvii.
• Impatto della disattivazione di singole sessioni sulla diagnosticabilità dei problemi: non abbiamo disattivato sessioni in questa ricerca.

Limiti

Una sola istantanea 2 ore dopo un solo avvio; le finestre notturne e di manutenzione non sono rappresentate. La stima del volume di Diagtrack-Listener è basata sui buffer, non sul file. I file preallocati esistono sempre, ma la loro dimensione non è una misura del volume «scritto».

Conclusione pratica

Un «disattiva tutti gli autologger» di massa non ha senso: la maggior parte delle sessioni non scrive comunque su disco, e le tre fonti realmente pesanti sono puntuali. Se l’obiettivo è ridurre la telemetria, disattivate Diagtrack-Listener insieme al servizio di telemetria: in BoosterX lo fa la regolazione «Autologger ETW in background». Se l’obiettivo è lo spazio su disco, tenete presente che 28 MB dei 32 sono la preallocazione di due file, non log in crescita. Il valore diagnostico delle altre sessioni su file (NTFS, WDI, rete) lo valuteremmo più alto del loro costo su disco.

Ripristino dello stato

La ricerca è puramente osservativa: nessuna sessione è stata disattivata o modificata. Il sistema è rimasto nello stato iniziale.

Fonti e confini

Il catalogo è stato raccolto da BoosterX Research sulla macchina virtuale descritta. La ricerca appartiene allo sviluppatore di BoosterX, lo sviluppatore ha un interesse diretto nel risultato; metodologia e limiti sono descritti sopra.

• Microsoft: Configuring and Starting an Autologger Session, verificato 2026-09-22.
• Microsoft: Event Tracing, verificato 2026-09-22.

Ultima verifica: 2026-09-22.