Journaux de suivi d'événements (fichiers ETL)

Présentation

Event Tracing for Windows (ETW) est le mécanisme de traçage de niveau noyau sur lequel repose l'essentiel de la journalisation de Windows. Des fournisseurs (noyau, pile réseau, services, applications) émettent des événements vers des sessions de trace. Une session peut alimenter un consommateur en temps réel, comme le service Journal des événements ou un EDR, ou écrire ses tampons dans un fichier binaire Event Trace Log (.etl).

Windows est livré avec de nombreuses sessions qui écrivent des .etl à des fins de diagnostic, de performance et de télémétrie. La plupart sont circulaires et de courte durée, mais certaines enregistrent une activité qu'aucun journal EVTX ne conserve : processus et fichiers au démarrage, connexions Wi-Fi, historique des mises à jour et des téléchargements. Ils complètent les journaux d'événements, souvent négligés, sans les remplacer.

Emplacement

Des traces ponctuelles finissent aussi en .etl : captures netsh trace (NetTrace.etl), sorties de Windows Performance Recorder et journaux propres à certains outils.

Ce que l'artefact prouve

• Tout dépend du fournisseur. Exemples : un réseau sans fil auquel la machine s'est connectée (Wifi.etl), les processus et fichiers sollicités lors d'un démarrage (BootCKCL.etl), les mises à jour et téléchargements (Windows Update, Optimisation de la distribution).
• Un fichier de session montre que le fournisseur était actif et journalisait pendant la période couverte par le fichier.
• Il ne donne pas d'historique continu : les fichiers circulaires couvrent une courte fenêtre, et beaucoup de fournisseurs n'enregistrent rien d'utile à l'enquête. Traitez ces résultats comme une corroboration.

Champs clés

Horodatages

Rétention et effacement

• La plupart des .etl système sont circulaires : une fois la taille maximale atteinte, les anciens événements sont écrasés et ne peuvent plus être récupérés dans le fichier.
• Les traces de démarrage et d'arrêt sont remplacées à chaque cycle : seul le dernier subsiste (des copies plus anciennes peuvent exister dans les clichés instantanés).
• Les sessions sont configurées sous HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger ; un attaquant administrateur peut arrêter des sessions ou désactiver des fournisseurs, ce qui constitue en soi un signal d'anti-forensique.
• Supprimer des .etl dans les dossiers système exige des droits d'administrateur ; cherchez les suppressions dans le journal USN.

Collecte

• Cible KAPE : EventTraceLogs (WDI, LogFiles\WMI, SleepStudy, energy-ntkl.etl, journaux de l'Optimisation de la distribution) et WindowsUpdate (.etl de Windows Update). Aucune des deux ne couvre les ExplorerStartupLog*.etl des profils ni le dossier AutoLogger de DiagTrack : collectez-les explicitement.
• Velociraptor (Windows.Triage.Targets) : EventTraceLogs, WindowsUpdate. Pour l'ETW en direct (et non les fichiers), les artefacts Windows.ETW.* s'abonnent aux fournisseurs en temps réel.
• Commandes natives : les fichiers des sessions en cours peuvent être verrouillés ; copiez-les depuis un cliché instantané si une copie simple échoue. logman query -ets liste les sessions actives au moment de la collecte.

logman query -ets
robocopy C:\Windows\System32\LogFiles\WMI E:\case\ETL\WMI *.etl /COPY:DAT
robocopy C:\ProgramData\Microsoft\Diagnosis\ETLLogs E:\case\ETL\Diagnosis /E /COPY:DAT
tracerpt E:\case\ETL\WMI\Wifi.etl -o E:\case\Wifi.xml -of XML
Get-WinEvent -Path E:\case\ETL\WMI\Wifi.etl -Oldest | Select-Object -First 20

Outils d'analyse

• tracerpt (intégré à Windows) : convertit un .etl en XML ou CSV, avec un rapport de synthèse.
• Get-WinEvent (PowerShell) : lit les .etl à condition d'utiliser -Oldest.
• Windows Performance Analyzer (Windows ADK, gratuit) : analyse graphique des traces noyau comme BootCKCL.etl.
• PerfView (Microsoft, open source) : ouvre et exporte les traces ETL.
• etl-parser (Airbus CERT, open source, Python) : analyse les événements à manifeste, TraceLogging et MOF noyau sur tout système ; etl2xml et etl2pcap (pour les captures netsh trace). Les événements WPP ne sont pas encore pris en charge.
• Get-WindowsUpdateLog et Get-DeliveryOptimizationLog (cmdlets intégrées) : décodent ces journaux de trace précis.

Conseils d'investigation

• Intégrez par défaut les dossiers ETL à votre collecte de triage : ils sont légers et souvent la seule trace de l'activité au démarrage ou sans fil.
• Analysez Wifi.etl avec les profils réseau et SRUM pour situer la machine sur un réseau sans fil précis.
• Servez-vous de BootCKCL.etl pour repérer les binaires et pilotes lancés tôt au démarrage, avant le service Journal des événements.
• Les traces WPP exigent les fichiers de format du fournisseur (TMF), rarement publics : beaucoup de fichiers ne donneront qu'un résultat partiel.
• Ramenez les événements analysés à un fuseau horaire commun et fusionnez-les dans une super-chronologie plutôt que de les examiner isolément.
• Des fichiers ETL absents ou minuscules sur un système qui en produit normalement peuvent signaler des sessions AutoLogger désactivées ; vérifiez la clé de registre Autologger.