Autologgers ETW do Windows 11: o que realmente escreve no disco

Resposta curta

Numa instalação limpa do Windows 11 26H2 estão registadas 39 sessões de autologger ETW, 19 estão ativadas, mas na realidade apenas 9 escrevem no disco desde o arranque. Outras 3 vivem num buffer circular de memória (zero custo de disco), 5 funcionam em tempo real sem ficheiro e 2 sessões do Defender não arrancam efetivamente. O principal gerador de eventos é o Diagtrack-Listener: cerca de 110 MB de eventos em 2 horas com o serviço de telemetria em funcionamento. Dos 32 MB ocupados pelos ficheiros dos autologgers, 28 MB são pré-alocações vazias.

Estado: o catálogo foi compilado por leitura estática do registo; o estado real foi verificado com um instantâneo 2 horas após o arranque. Uma compilação, uma máquina virtual; a transposição para outras configurações (portáteis com WiFi, sistemas com ReFS) altera a composição dos ficheiros ativos.

Afirmação verificável

Verificámos três afirmações:

1. «Desativar os autologgers» é uma operação única e clara, e a composição das sessões ativas é pequena.
2. Os ficheiros dos autologgers ocupam um espaço significativo.
3. Os rastreios de diagnóstico produzem um fluxo de eventos notório em repouso.

Âmbito do estudo

• Windows 11 Pro, build 26300.9457 (26H2), máquina virtual sem módulo WiFi;
• chave de registo Autologger: todas as 39 sessões, os seus sinalizadores de arranque, modos de ficheiro e fornecedores associados;
• estado real das sessões e dos ficheiros 2 horas após o arranque de um sistema limpo;
• 1115 fornecedores ETW registados e 1049 entradas «fornecedor numa sessão».

Não foram verificados: outras compilações, máquinas com módulos de rádio, volumes ReFS e carga RDP; o comportamento das sessões com a telemetria desativada numa janela prolongada.

Metodologia

O catálogo de sessões foi compilado a partir da configuração de registo Autologger: sinalizador de arranque, modo de ficheiro, limites e fornecedores. O estado real foi comparado 2 horas após o arranque: sessões em execução, buffers ocupados e tamanhos dos ficheiros. A estimativa do volume de eventos do Diagtrack-Listener foi obtida pelo número de buffers gravados.

Resultados

Composição dos autologgers

Categoria	Sessões
Registadas no total	39
Ativadas no registo (Start=1)	19
Destas, efetivamente em execução	17
Escrevem no disco desde o arranque	9
Vivem em memória (armazenamento em buffer)	3
Tempo real sem ficheiro	5
Configuração sem valor Start (não arrancam)	3

As duas sessões do Defender, ativadas no registo, não arrancam efetivamente: a proteção substitui-as por uma sessão própria com menos privilégios.

Nove sessões de ficheiro: quem e quanto

Sessão	Finalidade	Ocupado	Particularidade
Diagtrack-Listener	recetor de telemetria	sem ficheiro com o serviço ativo	cerca de 110 MB de eventos em 2 horas vão para o serviço de telemetria
NetCore	diagnóstico da pilha de rede	22 MB	ficheiro pré-alocado; cerca de 2.5 MB de eventos gravados
RadioMgr	estado dos módulos de rádio	6 MB	pré-alocado; numa máquina sem WiFi é um ficheiro vazio
WdiContextLog	diagnóstico de arranque e PnP	2.2 MB	rotação por arranques
NtfsLog	rastreio NTFS	1.7 MB	rotação de 8 ficheiros; o único fluxo notório depois do DiagTrack
WiFiSession	diagnóstico WLAN	80 KB	quase vazio sem WiFi
LwtNetLog	diagnóstico de rede	64 KB
RdpIdd-Trace	gráficos RDP	64 KB
ReFSLog	rastreio ReFS	4 KB	sem volumes ReFS não escreve

No total, os ficheiros dos autologgers ativos ocupam 32 MB, dos quais 28 MB são pré-alocação do NetCore e do RadioMgr: ficheiros deste tamanho existem sempre, independentemente do volume real de eventos.

Diagtrack-Listener: um fluxo pesado sem ficheiro

Enquanto o serviço de telemetria funciona, interceta a sessão em tempo real: não há ficheiro, mas o fluxo de eventos não desaparece — cerca de 110 MB em 2 horas. Na sessão estão associados 254 fornecedores, na maioria dos quais está ativado o nível máximo de gravação. Se o serviço de telemetria for desativado, o autologger continuará a escrever num ficheiro sem consumidor — por isso é preciso desligá-lo juntamente com o serviço.

Níveis e fornecedores

O nível de gravação não é definido na sessão, mas nos fornecedores. Dos 1115 fornecedores registados, 607 não aparecem em nenhum autologger — só se associam em sessões de runtime. Das 1049 entradas «fornecedor numa sessão», 425 são GUID sem nomes registados, sobretudo identificadores de cenário de telemetria.

O que foi confirmado

• Observado: 39 sessões no registo, 19 ativadas, 17 efetivamente em execução, 9 escrevem no disco.
• Medido: os ficheiros dos autologgers ativos ocupam 32 MB; 28 MB destes são pré-alocação do NetCore e do RadioMgr.
• Medido: o Diagtrack-Listener grava cerca de 110 MB de eventos em 2 horas com o serviço de telemetria em funcionamento.
• Observado: duas sessões do Defender não arrancam devido à substituição feita pela proteção.

O que não foi confirmado

• A composição e os volumes noutras compilações e configurações (WiFi, ReFS, carga RDP).
• O crescimento a longo prazo dos ficheiros de rotação ao longo de muitos arranques.
• O impacto da desativação de sessões individuais na capacidade de diagnóstico de problemas: não desativámos sessões neste estudo.

Limitações

Um único instantâneo 2 horas após um único arranque; as janelas noturnas e de manutenção não estão representadas. A estimativa do volume do Diagtrack-Listener é feita por buffers, não por ficheiro. Os ficheiros pré-alocados existem sempre, mas o seu tamanho não é uma medição do volume «gravado».

Conclusão prática

Desativar em massa «todos os autologgers» não faz sentido: a maioria das sessões já não escreve no disco, e as três fontes realmente pesadas são pontuais. Se o objetivo é reduzir a telemetria, desative o Diagtrack-Listener juntamente com o serviço de telemetria: no BoosterX isso é feito pela definição «Autologgers ETW em segundo plano». Se o objetivo é espaço em disco, tenha em conta que 28 MB dos 32 são pré-alocação de dois ficheiros, e não registos em crescimento. O valor de diagnóstico das restantes sessões de ficheiro (NTFS, WDI, rede) seria, na nossa avaliação, superior ao seu custo em disco.

Restauro do estado

O estudo é puramente observacional: nenhuma sessão foi desativada ou alterada. O sistema permaneceu no estado inicial.

Fontes e limites

O catálogo foi compilado pela BoosterX Research na máquina virtual descrita. O estudo pertence ao desenvolvedor do BoosterX, e o desenvolvedor tem um interesse direto no resultado; a metodologia e as limitações estão descritas acima.

• Microsoft: Configuring and Starting an Autologger Session, verificado em 2026-09-22.
• Microsoft: Event Tracing, verificado em 2026-09-22.

Última verificação: 2026-09-22.