Windows 11 ETW آٹو لاگرز: اصل میں ڈسک پر کیا لکھا جاتا ہے

مختصر جواب

خالص Windows 11 26H2 میں ETW آٹولوگر سیشنز کی 39 رجسٹریاں ہیں، 19 فعال ہیں، لیکن بوٹ سے اصل میں ڈسک پر صرف 9 لکھتے ہیں۔ مزید 3 میموری کے رنگ بفر میں رہتے ہیں (ڈسک پر صفر لاگت)، 5 بغیر فائل کے حقیقی وقت میں کام کرتے ہیں، اور Defender کے 2 سیشنز عملاً شروع نہیں ہوتے۔ ایونٹس کا سب سے بڑا پیدا کرنے والا Diagtrack-Listener ہے: ٹیلیمیٹری سروس کے فعال ہونے پر تقریباً 2 گھنٹوں میں 110 MB ایونٹس۔ آٹولوگر فائلوں کے زیرِ استعمال 32 MB میں سے، 28 MB پہلے سے مختص خالی فائلیں ہیں۔

حالت: کیٹلاگ رجسٹری کو جامد پڑھ کر جمع کیا گیا؛ اصل حالت بوٹ کے 2 گھنٹے بعد اسنیپ شاٹ سے جانچی گئی۔ ایک بلڈ، ایک ورچوئل مشین؛ دیگر کنفیگریشنز (WiFi والے لیپ ٹاپس، ReFS والے سسٹمز) پر منتقلی فعال فائلوں کی ترکیب بدل دیتی ہے۔

قابلِ تصدیق دعویٰ

ہم نے تین دعوے جانچے:

1. «آٹولوگرز کو غیر فعال کرنا» ایک واضح آپریشن ہے، اور فعال سیشنز کی ترکیب چھوٹی ہے۔
2. آٹولوگر فائلیں نمایاں جگہ لیتی ہیں۔
3. تشخیصی ٹریسنگ بیکار حالت میں ایونٹس کا نمایاں بہاؤ دیتی ہے۔

تحقیق کا دائرہ

• Windows 11 Pro، build 26300.9457 (26H2)، بغیر WiFi ماڈیول والی ورچوئل مشین؛
• رجسٹری کا Autologger حصہ: تمام 39 سیشنز، ان کے اسٹارٹ فلیگز، فائل موڈز اور منسلک پرووائیڈرز؛
• خالص سسٹم کے بوٹ کے 2 گھنٹے بعد سیشنز اور فائلوں کی اصل حالت؛
• 1115 رجسٹرڈ ETW پرووائیڈرز اور «سیشن میں پرووائیڈر» کی 1049 اندراجات۔

جانچے نہیں گئے: دیگر بلڈز، ریڈیو ماڈیول والی مشینیں، ReFS والیومز اور RDP لوڈ؛ طویل مدت میں ٹیلیمیٹری بند ہونے پر سیشنز کا رویہ۔

طریقہ کار

سیشنز کا کیٹلاگ Autologger رجسٹری کنفیگریشن سے جمع کیا گیا: اسٹارٹ فلیگ، فائل موڈ، حدود اور پرووائیڈرز۔ اصل حالت بوٹ کے 2 گھنٹے بعد ملائی گئی: چل رہے سیشنز، زیرِ استعمال بفرز اور فائل سائز۔ Diagtrack-Listener کے ایونٹس کے حجم کا تخمینہ ریکارڈ شدہ بفرز کی تعداد سے حاصل کیا گیا۔

نتائج

آٹولوگرز کی ترکیب

زمرہ	سیشنز
کل رجسٹرڈ	39
رجسٹری کے مطابق فعال (Start=1)	19
ان میں سے اصل میں چل رہے	17
بوٹ سے ڈسک پر لکھتے ہیں	9
میموری میں رہتے ہیں (بفرنگ)	3
بغیر فائل کے حقیقی وقت	5
Start ویلیو کے بغیر کنفیگریشن (شروع نہیں ہوتے)	3

Defender کے دو سیشنز، جو رجسٹری کے مطابق فعال ہیں، عملاً شروع نہیں ہوتے: حفاظت انہیں کم مراعات والے اپنے سیشن سے بدل دیتی ہے۔

نو فائل سیشنز: کون اور کتنا

سیشن	مقصد	زیرِ استعمال	خصوصیت
Diagtrack-Listener	ٹیلیمیٹری وصول کنندہ	فعال سروس پر فائل نہیں	تقریباً 110 MB ایونٹس 2 گھنٹوں میں ٹیلیمیٹری سروس کو جاتے ہیں
NetCore	نیٹ ورک اسٹیک کی تشخیص	22 MB	پہلے سے مختص فائل؛ تقریباً 2.5 MB ایونٹس ریکارڈ ہوئے
RadioMgr	ریڈیو ماڈیولز کی حالت	6 MB	پہلے سے مختص؛ بغیر WiFi والی مشین پر خالی فائل
WdiContextLog	بوٹ اور PnP کی تشخیص	2.2 MB	بوٹ کے حساب سے گردش
NtfsLog	NTFS کی ٹریسنگ	1.7 MB	8 فائلوں کی گردش؛ DiagTrack کے بعد واحد نمایاں بہاؤ
WiFiSession	WLAN کی تشخیص	80 KB	WiFi کے بغیر تقریباً خالی
LwtNetLog	نیٹ ورک کی تشخیص	64 KB
RdpIdd-Trace	RDP گرافکس	64 KB
ReFSLog	ReFS کی ٹریسنگ	4 KB	ReFS والیومز کے بغیر نہیں لکھی جاتی

کل ملا کر فعال آٹولوگرز کی فائلیں 32 MB لیتی ہیں، جن میں سے 28 MB NetCore اور RadioMgr کی پہلے سے مختص ہے: اس سائز کی فائلیں ہمیشہ موجود رہتی ہیں، ایونٹس کے اصل حجم سے قطع نظر۔

Diagtrack-Listener: بغیر فائل کے بھاری بہاؤ

جب تک ٹیلیمیٹری سروس کام کرتی ہے، وہ سیشن کو حقیقی وقت میں پکڑ لیتی ہے: فائل نہیں ہوتی، لیکن ایونٹس کا بہاؤ غائب نہیں ہوتا — 2 گھنٹوں میں تقریباً 110 MB۔ سیشن میں 254 پرووائیڈرز منسلک ہیں، جن میں سے زیادہ تر پر زیادہ سے زیادہ ریکارڈنگ لیول فعال ہے۔ اگر ٹیلیمیٹری سروس بند کر دی جائے، تو آٹولوگر بغیر صارف کے فائل میں لکھتا رہے گا — اسی لیے اسے سروس کے ساتھ ہی بند کرنا ضروری ہے۔

لیولز اور پرووائیڈرز

ریکارڈنگ لیول سیشن پر نہیں، پرووائیڈرز پر مقرر ہوتا ہے۔ 1115 رجسٹرڈ پرووائیڈرز میں سے 607 کسی بھی آٹولوگر میں نہیں آتے — وہ صرف runtime سیشن میں منسلک ہوتے ہیں۔ «سیشن میں پرووائیڈر» کی 1049 اندراجات میں سے 425 بغیر رجسٹرڈ ناموں والے GUID ہیں، زیادہ تر ٹیلیمیٹری کے سیناریو شناخت کنندہ۔

کیا تصدیق ہوئی

• مشاہدہ: رجسٹری میں 39 سیشنز، 19 فعال، 17 اصل میں چل رہے، 9 ڈسک پر لکھتے ہیں۔
• پیمائش: فعال آٹولوگرز کی فائلیں 32 MB لیتی ہیں؛ ان میں سے 28 MB NetCore اور RadioMgr کی پہلے سے مختص ہے۔
• پیمائش: Diagtrack-Listener ٹیلیمیٹری سروس کے فعال ہونے پر 2 گھنٹوں میں تقریباً 110 MB ایونٹس ریکارڈ کرتا ہے۔
• مشاہدہ: Defender کے دو سیشنز حفاظت کی جانب سے تبدیلی کے باعث شروع نہیں ہوتے۔

کیا تصدیق نہیں ہوئی

• دیگر بلڈز اور کنفیگریشنز (WiFi، ReFS، RDP لوڈ) پر ترکیب اور حجم۔
• کئی بوٹس پر گردش والی فائلوں کی طویل مدتی افزائش۔
• مسائل کی تشخیص پر انفرادی سیشنز بند کرنے کا اثر: اس تحقیق میں ہم نے سیشنز بند نہیں کیے۔

حدود

ایک بوٹ کے 2 گھنٹے بعد ایک اسنیپ شاٹ؛ رات کی اور دیکھ بھال کی ونڈوز شامل نہیں۔ Diagtrack-Listener کے حجم کا تخمینہ بفرز سے، فائل سے نہیں۔ پہلے سے مختص فائلیں ہمیشہ موجود رہتی ہیں، لیکن ان کا سائز «ریکارڈ شدہ» حجم کی پیمائش نہیں۔

عملی نتیجہ

بڑے پیمانے پر «تمام آٹولوگرز بند کر دیں» کا کوئی مطلب نہیں: زیادہ تر سیشنز ویسے بھی ڈسک پر نہیں لکھتے، اور اصل میں بھاری تین ذرائع مخصوص ہیں۔ اگر مقصد ٹیلیمیٹری کم کرنا ہے، تو Diagtrack-Listener کو ٹیلیمیٹری سروس کے ساتھ بند کریں: BoosterX میں یہ «پس منظر ETW آٹولوگرز» کی سیٹنگ کرتی ہے۔ اگر مقصد ڈسک پر جگہ ہے، تو ذہن میں رکھیں کہ 32 میں سے 28 MB دو فائلوں کی پہلے سے مختص ہے، بڑھتے ہوئے لاگز نہیں۔ باقی فائل سیشنز (NTFS، WDI، نیٹ ورک) کی تشخیصی اہمیت ہم ان کی ڈسک قیمت سے زیادہ آںکیں گے۔

حالت کی بحالی

تحقیق خالصتاً مشاہداتی ہے: کوئی سیشن بند یا تبدیل نہیں کیا گیا۔ سسٹم اپنی اصل حالت میں رہا۔

ذرائع اور حدود

کیٹلاگ BoosterX Research نے بیان کردہ ورچوئل مشین پر جمع کیا۔ تحقیق BoosterX ڈویلپر کی ملکیت ہے، ڈویلپر کا نتیجے میں براہِ راست مفاد ہے؛ طریقہ کار اور حدود اوپر بیان کیے گئے۔

• Microsoft: Configuring and Starting an Autologger Session، جانچا گیا 2026-09-22۔
• Microsoft: Event Tracing، جانچا گیا 2026-09-22۔

آخری جانچ: 2026-09-22۔