Windows 11 ETW oturum günlükleyicileri: diske gerçekte ne yazıyor
Sayfa içeriği
Kısa yanıt
Bölüm başlığı “Kısa yanıt”Temiz bir Windows 11 26H2 kurulumunda 39 ETW otomatik günlükleyici oturumu kayıtlıdır, 19’u etkindir, ancak önyüklemeden itibaren diske gerçekten yazan yalnızca 9’dur. 3 tanesi daha halka biçimli bellek arabelleğinde yaşar (sıfır disk maliyeti), 5’i dosya olmadan gerçek zamanlı çalışır ve 2 Defender oturumu fiilen başlamaz. Ana olay üreticisi Diagtrack-Listener’dır: telemetri hizmeti çalışırken 2 saatte yaklaşık 110 MB olay. Otomatik günlükleyici dosyalarının kapladığı 32 MB’ın 28 MB’ı önceden ayrılmış boş dosyalardır.
Durum: katalog, kayıt defterinin statik okunmasıyla derlendi; fiili durum, önyüklemeden 2 saat sonra alınan anlık görüntüyle doğrulandı. Tek derleme, tek sanal makine; başka yapılandırmalara (WiFi’li dizüstü bilgisayarlar, ReFS’li sistemler) aktarım, etkin dosyaların bileşimini değiştirir.
Doğrulanabilir iddia
Bölüm başlığı “Doğrulanabilir iddia”Üç iddiayı doğruluyorduk:
- “Otomatik günlükleyicileri devre dışı bırakma” tek ve anlaşılır bir işlemdir ve etkin oturumların bileşimi küçüktür.
- Otomatik günlükleyici dosyaları önemli yer kaplar.
- Tanılama izlemeleri boşta kayda değer bir olay akışı üretir.
Araştırma kapsamı
Bölüm başlığı “Araştırma kapsamı”- Windows 11 Pro, build 26300.9457 (26H2), WiFi modülü olmayan sanal makine;
- Autologger kayıt defteri anahtarı: 39 oturumun tamamı, başlatma bayrakları, dosya modları ve bağlı sağlayıcılar;
- temiz sistemin önyüklenmesinden 2 saat sonra oturumların ve dosyaların fiili durumu;
- 1115 kayıtlı ETW sağlayıcısı ve 1049 “oturumdaki sağlayıcı” kaydı.
Doğrulanmayanlar: diğer derlemeler, radyo modülü, ReFS birimi ve RDP yükü olan makineler; telemetri devre dışıyken oturumların uzun bir zaman penceresindeki davranışı.
Yöntem
Bölüm başlığı “Yöntem”Oturum kataloğu, Autologger kayıt defteri yapılandırmasından derlendi: başlatma bayrağı, dosya modu, sınırlar ve sağlayıcılar. Fiili durum, önyüklemeden 2 saat sonra karşılaştırıldı: çalışan oturumlar, dolu arabellekler ve dosya boyutları. Diagtrack-Listener’ın olay hacmi tahmini, yazılan arabellek sayısına göre elde edildi.
Sonuçlar
Bölüm başlığı “Sonuçlar”Otomatik günlükleyicilerin bileşimi
Bölüm başlığı “Otomatik günlükleyicilerin bileşimi”| Kategori | Oturum |
|---|---|
| Toplam kayıtlı | 39 |
| Kayıt defterine göre etkin (Start=1) | 19 |
| Bunlardan fiilen başlatılan | 17 |
| Önyüklemeden itibaren diske yazan | 9 |
| Bellekte yaşayan (arabelleğe alma) | 3 |
| Dosyasız gerçek zamanlı | 5 |
| Start değeri olmayan yapılandırma (başlamaz) | 3 |
Kayıt defterine göre etkin olan iki Defender oturumu fiilen başlamaz: koruma, bunları daha düşük ayrıcalıklı kendi oturumuyla değiştirir.
Dokuz dosyalı oturum: kim ve ne kadar
Bölüm başlığı “Dokuz dosyalı oturum: kim ve ne kadar”| Oturum | Amaç | Dolu | Özellik |
|---|---|---|---|
| Diagtrack-Listener | telemetri alıcısı | hizmet çalışırken dosya yok | telemetri hizmetine 2 saatte yaklaşık 110 MB olay gider |
| NetCore | ağ yığını tanılaması | 22 MB | önceden ayrılmış dosya; yaklaşık 2.5 MB olay yazılmış |
| RadioMgr | radyo modüllerinin durumu | 6 MB | önceden ayrılmış; WiFi’siz makinede boş dosya |
| WdiContextLog | önyükleme ve PnP tanılaması | 2.2 MB | önyüklemeye göre rotasyon |
| NtfsLog | NTFS izlemesi | 1.7 MB | 8 dosyalık rotasyon; DiagTrack’ten sonra tek kayda değer akış |
| WiFiSession | WLAN tanılaması | 80 KB | WiFi olmadan neredeyse boş |
| LwtNetLog | ağ tanılaması | 64 KB | |
| RdpIdd-Trace | RDP grafikleri | 64 KB | |
| ReFSLog | ReFS izlemesi | 4 KB | ReFS birimi olmadan yazılmaz |
Toplamda etkin otomatik günlükleyicilerin dosyaları 32 MB kaplar; bunun 28 MB’ı NetCore ve RadioMgr ön ayırmasıdır: bu boyuttaki dosyalar, gerçek olay hacminden bağımsız olarak her zaman vardır.
Diagtrack-Listener: dosyasız ağır akış
Bölüm başlığı “Diagtrack-Listener: dosyasız ağır akış”Telemetri hizmeti çalıştığı sürece oturumu gerçek zamanlı olarak yakalar: dosya yoktur, ancak olay akışı kaybolmaz — 2 saatte yaklaşık 110 MB. Oturuma 254 sağlayıcı bağlıdır ve çoğunda maksimum kayıt düzeyi etkindir. Telemetri hizmeti devre dışı bırakılırsa, otomatik günlükleyici tüketicisi olmadan dosyaya yazmaya devam eder — bu nedenle onu hizmetle birlikte susturmak gerekir.
Düzeyler ve sağlayıcılar
Bölüm başlığı “Düzeyler ve sağlayıcılar”Kayıt düzeyi oturumda değil, sağlayıcılarda belirlenir. Kayıtlı 1115 sağlayıcıdan 607’si hiçbir otomatik günlükleyicide bulunmaz — bunlar yalnızca runtime oturumunda bağlanır. 1049 “oturumdaki sağlayıcı” kaydından 425’i, kayıtlı adı olmayan GUID’lerdir; çoğunlukla telemetrinin senaryo tanımlayıcılarıdır.
Doğrulananlar
Bölüm başlığı “Doğrulananlar”- Gözlendi: kayıt defterinde 39 oturum, 19’u etkin, 17’si fiilen başlatılmış, 9’u diske yazıyor.
- Ölçüldü: etkin otomatik günlükleyicilerin dosyaları 32 MB kaplar; bunun 28 MB’ı NetCore ve RadioMgr ön ayırmasıdır.
- Ölçüldü: Diagtrack-Listener, telemetri hizmeti çalışırken 2 saatte yaklaşık 110 MB olay yazar.
- Gözlendi: iki Defender oturumu, korumanın değiştirmesi nedeniyle başlamaz.
Doğrulanmayanlar
Bölüm başlığı “Doğrulanmayanlar”- Diğer derlemelerdeki ve yapılandırmalardaki (WiFi, ReFS, RDP yükü) bileşim ve hacimler.
- Rotasyon dosyalarının çok sayıda önyükleme boyunca uzun vadeli büyümesi.
- Tek tek oturumların devre dışı bırakılmasının sorunların tanılanabilirliğine etkisi: bu araştırmada oturumları devre dışı bırakmadık.
Sınırlamalar
Bölüm başlığı “Sınırlamalar”Tek bir önyüklemeden 2 saat sonra alınan tek bir anlık görüntü; gece ve bakım pencereleri temsil edilmiyor. Diagtrack-Listener’ın hacim tahmini dosyaya göre değil, arabelleklere göredir. Önceden ayrılmış dosyalar her zaman vardır, ancak boyutları “yazılan” hacmin ölçümü değildir.
Pratik sonuç
Bölüm başlığı “Pratik sonuç”Toplu “tüm otomatik günlükleyicileri devre dışı bırak” anlamsızdır: oturumların çoğu zaten diske yazmaz ve gerçekten ağır olan üç kaynak nokta hedeflidir. Amaç telemetriyi azaltmaksa, Diagtrack-Listener’ı telemetri hizmetiyle birlikte devre dışı bırakın: BoosterX’te bunu «Arka plan ETW otomatik günlükleyicileri» ayarı yapar. Amaç disk alanıysa, 32’nin 28 MB’ının iki dosyanın ön ayırması olduğunu, büyüyen günlükler olmadığını unutmayın. Diğer dosyalı oturumların (NTFS, WDI, ağ) tanılama değerini, disk maliyetlerinden daha yüksek sayardık.
Durumun geri yüklenmesi
Bölüm başlığı “Durumun geri yüklenmesi”Araştırma tamamen gözlemseldir: hiçbir oturum devre dışı bırakılmadı veya değiştirilmedi. Sistem başlangıç durumunda kaldı.
Kaynaklar ve sınırlar
Bölüm başlığı “Kaynaklar ve sınırlar”Katalog, BoosterX Research tarafından açıklanan sanal makinede derlendi. Araştırma BoosterX geliştiricisine aittir ve geliştiricinin sonuçta doğrudan çıkarı vardır; yöntem ve sınırlamalar yukarıda açıklanmıştır.
- Microsoft: Configuring and Starting an Autologger Session, doğrulandı 2026-09-22.
- Microsoft: Event Tracing, doğrulandı 2026-09-22.
Son doğrulama: 2026-09-22.