ETW-автологгеры Windows 11: что на самом деле пишет на диск

Короткий ответ

В чистой Windows 11 26H2 зарегистрировано 39 сессий автологгеров ETW, 19 включены, но реально пишут на диск с загрузки только 9. Ещё 3 живут в кольцевом буфере памяти (ноль дисковых затрат), 5 работают в реальном времени без файла, а 2 сессии Defender фактически не стартуют. Главный генератор событий — Diagtrack-Listener: около 110 МБ событий за 2 часа при работающей службе телеметрии. Из 32 МБ, занятых файлами автологгеров, 28 МБ — преаллоцированные пустышки.

Статус: каталог собран статическим чтением реестра; фактическое состояние проверено снимком через 2 часа после загрузки. Одна сборка, одна виртуальная машина; перенос на другие конфигурации (ноутбуки с WiFi, системы с ReFS) меняет состав активных файлов.

Проверяемое утверждение

Мы проверяли три утверждения:

1. «Отключение автологгеров» — это одна понятная операция, а состав активных сессий мал.
2. Файлы автологгеров занимают значительное место.
3. Диагностические трассировки дают заметный поток событий в простое.

Область исследования

• Windows 11 Pro, build 26300.9457 (26H2), виртуальная машина без WiFi-модуля;
• раздел реестра Autologger: все 39 сессий, их флаги запуска, режимы файлов и подключённые провайдеры;
• фактическое состояние сессий и файлов через 2 часа после загрузки чистой системы;
• 1115 зарегистрированных ETW-провайдеров и 1049 записей «провайдер в сессии».

Не проверялись: другие сборки, машины с радио-модулями, ReFS-томами и RDP-нагрузкой; поведение сессий при отключённой телеметрии в длительном окне.

Методика

Каталог сессий собран из конфигурации реестра Autologger: флаг запуска, режим файла, лимиты и провайдеры. Фактическое состояние сопоставлено через 2 часа после загрузки: запущенные сессии, занятые буферы и размеры файлов. Оценка объёма событий Diagtrack-Listener получена по количеству записанных буферов.

Результаты

Состав автологгеров

Категория	Сессий
Зарегистрировано всего	39
Включены по реестру (Start=1)	19
Из них реально запущены	17
Пишут на диск с загрузки	9
Живут в памяти (буферизация)	3
Реальное время без файла	5
Конфигурация без значения Start (не стартуют)	3

Две сессии Defender, включённые по реестру, фактически не запускаются: защита подменяет их собственной сессией меньших привилегий.

Девять файловых сессий: кто и сколько

Сессия	Назначение	Занято	Особенность
Diagtrack-Listener	приёмник телеметрии	нет файла при живой службе	около 110 МБ событий за 2 часа уходит службе телеметрии
NetCore	диагностика сетевого стека	22 МБ	преаллоцированный файл; записано около 2.5 МБ событий
RadioMgr	состояние радиомодулей	6 МБ	преаллоцирован; на машине без WiFi — файл-пустышка
WdiContextLog	диагностика загрузки и PnP	2.2 МБ	ротация по загрузкам
NtfsLog	трассировка NTFS	1.7 МБ	ротация 8 файлов; единственный заметный поток после DiagTrack
WiFiSession	диагностика WLAN	80 КБ	без WiFi почти пуст
LwtNetLog	сетевая диагностика	64 КБ
RdpIdd-Trace	графика RDP	64 КБ
ReFSLog	трассировка ReFS	4 КБ	без ReFS-томов не пишется

Итого файлы активных автологгеров занимают 32 МБ, из которых 28 МБ — преаллокация NetCore и RadioMgr: файлы такого размера существуют всегда, независимо от реального объёма событий.

Diagtrack-Listener: тяжёлый поток без файла

Пока служба телеметрии работает, она перехватывает сессию в реальном времени: файла нет, но поток событий не исчезает — около 110 МБ за 2 часа. В сессию подключено 254 провайдера, у большинства включён максимальный уровень записи. Если службу телеметрии отключить, автологгер продолжит писать в файл без потребителя — поэтому глушить его нужно вместе со службой.

Уровни и провайдеры

Уровень записи задаётся не на сессии, а на провайдерах. Из 1115 зарегистрированных провайдеров 607 не встречаются ни в одном автологгере — они подключаются только в runtime-сессии. Из 1049 записей «провайдер в сессии» 425 — GUID без зарегистрированных имён, в основном сценарные идентификаторы телеметрии.

Что подтверждено

• Наблюдалось: 39 сессий в реестре, 19 включены, 17 реально запущены, 9 пишут на диск.
• Измерено: файлы активных автологгеров занимают 32 МБ; 28 МБ из них — преаллокация NetCore и RadioMgr.
• Измерено: Diagtrack-Listener записывает около 110 МБ событий за 2 часа при работающей службе телеметрии.
• Наблюдалось: две сессии Defender не стартуют из-за подмены защитой.

Что не подтверждено

• Состав и объёмы на других сборках и конфигурациях (WiFi, ReFS, RDP-нагрузка).
• Долгосрочный рост файлов ротации за много загрузок.
• Влияние отключения отдельных сессий на диагностируемость проблем: мы не отключали сессии в этом исследовании.

Ограничения

Один снимок через 2 часа после одной загрузки; ночные и обслуживающие окна не представлены. Оценка объёма Diagtrack-Listener — по буферам, а не по файлу. Преаллоцированные файлы существуют всегда, но их размер — не измерение «записанного» объёма.

Практический вывод

Массовое «отключить все автологгеры» не имеет смысла: большинство сессий и так не пишут на диск, а три реально тяжёлых источника точечные. Если цель — сократить телеметрию, отключайте Diagtrack-Listener вместе со службой телеметрии: в BoosterX это делает настройка «Фоновые ETW-автологгеры». Если цель — место на диске, учитывайте, что 28 МБ из 32 — преаллокация двух файлов, а не растущие логи. Диагностическую ценность остальных файловых сессий (NTFS, WDI, сеть) мы оценили бы выше их дисковой цены.

Восстановление состояния

Исследование чисто наблюдательное: ни одна сессия не отключалась и не менялась. Система осталась в исходном состоянии.

Источники и границы

Каталог собран BoosterX Research на описанной виртуальной машине. Исследование принадлежит разработчику BoosterX, у разработчика есть прямой интерес к результату; методика и ограничения описаны выше.

• Microsoft: Configuring and Starting an Autologger Session, проверено 2026-09-22.
• Microsoft: Event Tracing, проверено 2026-09-22.

Последняя проверка: 2026-09-22.