Event Tracing for Windows (ETW)

Event Tracing for Windows (ETW) est le mécanisme de traçage haute performance intégré au noyau Windows. Il repose sur trois rôles : les fournisseurs (pilotes, services, applications) émettent des événements ; les contrôleurs démarrent et arrêtent les sessions de trace et choisissent les fournisseurs activés ; les consommateurs lisent les événements en temps réel ou depuis des fichiers de trace.

Une grande partie de ce que les enquêteurs appellent « journalisation » repose sur ETW. Les canaux affichés dans l'Observateur d'événements sont alimentés par des fournisseurs ETW et écrits par le service Journal des événements dans des fichiers EVTX. D'autres sessions écrivent plutôt des fichiers binaires .etl, souvent en tampon circulaire ; les sessions persistantes lancées au démarrage sont définies sous HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger. Ces journaux de trace ETL peuvent contenir des détails qui n'atteignent jamais les journaux classiques.

Sur un système actif, logman query -ets liste les sessions de trace en cours, et Get-WinEvent -Path <fichier>.etl -Oldest permet de lire de nombreux fichiers .etl. Chaque événement est identifié par son fournisseur et un ID d'événement : interprétez toujours les deux ensemble.

ETW est aussi une cible. Les produits de sécurité consomment des fournisseurs ETW pour leur télémétrie, et des attaquants ont désactivé des fournisseurs, supprimé la configuration Autologger ou modifié les fonctions ETW dans leur propre processus pour aveugler ces outils. Un fournisseur absent ou soudainement muet mérite donc d'être traité comme un possible signe d'anti-forensique plutôt que comme une absence d'activité.