XP/2003 上的 ETW 文件 IO 监控
我一直在研究用于进程/文件/注册表/网络监控的 ETW.看起来它在 Win7 上拥有我需要的一切.但是，在 XP 上，它似乎缺乏相同级别的细节.具体来说，对于文件 IO，似乎只记录了“FileCreate"事件，而进程创建事件没有提供完整路径. 是否可以使用 ETW 确定何时在 XP 上写入文件?以及流程启动事件的完整路径如何? 解决方案 从 Vista 开始 MS 向 Window
..
etw相关内容
Windows 资源监视器使用哪个 API?
Windows 资源监视器显示(除其他外)磁盘上的哪些文件当前由哪些进程访问.它实时执行此操作.如何? 我知道它可能使用 ETW，并且我可以使用 xperf 等工具生成跟踪.但是如何在不启动、停止和解析跟踪文件的情况下获取实时信息? 我需要以编程方式访问数据，即从 C# 或 C++. 解决方案 wOpenTrace/ProcessTrace/StopTrace 可以得到数据只要
..
如何从 ETL 文件中获取文件版本信息
使用 Microsoft TraceEvent Library 可以解析 ETL 文件由 xperf、WPR 或 PerfView. 我发现 TracEvent 中的 Event ImageIDFileVersion 显示了文件版本，而 Event ImageGroup 显示了文件的文件路径.现在我需要将两个事件映射到一起，并且需要一种方法来确保两个事件都指向 ETL 跟踪文件中的同一个文件
..
EventSource 活动 ID 和 TPL
根据文档http://msdn.microsoft.com/en-us/library/dn775009%28v=pandp.20%29.aspx 当前活动 ID 应由 TPL 处理.但是当我得到结果时，来自不同任务的日志事件属于不同的活动.要读取我使用的进程外 SemanticLogging-svc.2.0.1406.1 的消息工作流程如下: 1.我设置了活动ID，应该使用.EventSour
..
ETW 意外跟踪事件 254?
我正在设置 WCF 服务，该服务托管在 Windows 服务中，该服务使用 Windows 事件跟踪 (ETW) 进行日志记录.目前我只专注于使用 ETW 设置一个虚拟的 Windows 服务，我看到一些意外的事件被记录下来.特别是，每当我启动或停止服务时，我都会看到一个带有操作码 254 且没有消息的事件. 我试过在网上环顾四周，但到目前为止我还没有找到任何关于这是什么的参考. 如果
..
Windows ETW:StartTrace失败，错误87(ERROR_INVALID_PARAMETER)
我正在呼叫Windows事件跟踪 StartTrace 函数: StartTrace(sessionHandle，KERNEL_LOGGER_NAME，sessionProperties); 它失败，错误代码为87( ERROR_INVALID_PARAMETER ).MSDN给出了此错误的一些常见原因: 属性为 NULL . SessionHandle 为 NULL . 属性的
..
Windows(ETW)包装的C ++事件跟踪
我一直在调查事件Windows跟踪(ETW)，可在现有后端/服务器应用程序中使用.MSDN和其他来源出售了该框架及其与xperf 等，坦率地说，我印象深刻. 但是我有点担心Win32 API和清单文件编译/注册等工作的开销. 伙计，你呢? 推荐吗?在您的系统上使用它时遇到问题吗? 知道更多的C ++/STL样式包装器吗? 是否有用于管理清单文件的工具? 解决方案 我建
..
使用ETW/EventSource库为事件查看器指定不同的eventID和任务类别值
我们正在使用Microsoft EventSource库(1.0.24)的NuGet功能记录事件查看器的事件. 例如，考虑到以下方法定义，该类是从EventSource继承的类，则出现的事件查看器条目将显示由Task = XYZ参数指定填充的“任务类别"字段: 公共密封类EventLogEventSource:EventSource{静态公共EventLogEventSource日志=新的
..
依赖关系问题在大型应用程序中实现EventSource进行语义日志记录
我正在研究一个包含三个Windows服务和几个正常Windows应用程序(.exe)的大型产品.现在，我们要转到ETW和语义日志记录，并使用Microsoft.Diagnostics.Tracing.EventSource. 我读到某个地方，应用程序的所有逻辑连接部分都应使用相同的事件源.这意味着我们最好为服务提供一个EventSource.但是，如何在不引入产品中几乎所有程序集之间的依赖关
..
编写日志消息并在Perfview中显示的最简单方法
我需要在 PerfView 中写一条日志消息并将其捕获.我想避免使用 EventLog 或 EventSource ，因为它们具有很高的侵入性:它们需要注册一个新的源或ETW提供程序，这会在系统中留下剩余的内容. 理想情况下，我只想调用 Debug.WriteLine (它使用 EventSource .在这里，您不需要处理GUID和向系统注册. 公共密封类MinimalEventSour
..
获取C#中的分配总数
是否有一种方法可以获取分配的总数(注意-分配数，而不是分配的字节数)?可以是当前线程，也可以是全局线程，以较容易的一个为准. 我想检查一个特定函数分配了多少个对象，虽然我了解Debug-> Performance Profiler(Alt + F2)，但我希望能够从程序内部以编程方式进行操作. // pseudocode int GetTotalAllocations() {
..
获取Windows事件提供程序信息
我想使用Windows PowerShell检索有关事件提供程序的信息吗?我正在使用PowerShell版本4.0运行Windows 8.1，并且我注意到我可以通过调用EventProvider实例的默认构造函数来创建它，但是这不允许我获取有关系统上安装的事件提供程序的任何信息. $EventProvider = New-Object -TypeName System.Diagnostics
..
EnumerateTraceGuids返回“参数不正确”。 （87）
我正在尝试调用Windows API函数 EnumerateTraceGuids ： ULONG EnumerateTraceGuids（ __inout PTRACE_GUID_PROPERTIES * GuidPropertiesArray， __in ULONG PropertyArrayCount， __out PULONG GuidCount ）; 从代
..
Windows ETW：内核使用者未收到EventCallback或BufferCallback事件
我正在尝试监听ETW内核事件。 步骤1：致电 OpenTrace ，指定 EventCallback 和可选的 BufferCallback 函数，这些函数将在我呼叫 ProcessTrace ： var logFile：EVENT_TRACE_LOGFILE; currentTrace：TRACEHANDLE； begin ZeroMemory（@logFile，s
..
Service Fabric ETW日志始终不完整
我们刚刚开始使用Service Fabric，到目前为止，唯一的痛点是带有WAD的ETW，它似乎总是因缺少数据(消息，事件消息)而注销. 到目前为止，我们的经验是，它始终可以在Visual Studio中运行(有时必须添加提供程序名称)，并且在部署到Azure中的群集时很少可以运行.当它在Azure中运行时-版本控制&在事件源上更新功能或添加另一个功能后，将注销空白数据点. 这是我们使
..
在ServiceFabric应用程序中使用TraceEventSession会引起资源不足错误
我在群集中运行一个State-full服务结构应用程序..在同一群集中运行约20个State-full服务应用程序.我已经使用TraceEventSession进行关联.我的集群有10个节点.当我部署应用程序时，我可以在Performance Monitor中看到正在运行的TPL会话处于活动状态.当集群中部署的应用程序数量增加时，我开始收到指定的错误 系统资源不足，无法完成请求的服务. (来
..
Azure ServiceFabric示例未记录到ETW
我正在运行ServiceFabric的第一个示例(预览版1.4.87):对ServiceEventSource.Current.ServiceMessage(...)进行了日志调用，但是运行此方法(在ServiceEventSource.cs中实现)时，对this.IsEnabled()的调用返回false，因此不编写任何诊断信息.如果我在调试中绕过IsEnabled()调用，则仍然没有任何内容写
..
在Azure探查器中AWAIT_TIME到底是什么意思?
我正在查看我最慢的请求之一的性能概况，并且看到AWAIT_TIME超过6秒，但是我无法获得有关此信息的更多信息.我如何确定该过程到底在“等待"什么? 解决方案 来自等待(AWAIT_TIME) AWAIT_TIME表示代码正在等待另一个任务完成.这通常在C#'await'语句中发生.当代码执行C#“等待"时，线程将展开并把控制权返回给线程池，并且没有任何线程被阻塞，等待“等待"完成.
..
是否仅为提供程序中的某些特定ETW任务激活堆栈?
从Windows 7开始，可以为用户模式事件激活调用堆栈 .这可以正常工作，但有时不需要为提供程序中的所有任务/事件激活堆栈，最好仅为某些特定任务激活堆栈.这可能吗? 解决方案 是的，这是可能的，因为Windows 8.1在 EVENT_FILTER_TYPE_STACKWALK . 在Windows 8.1，Windows Server 2012 R2和更高版本上，事件有效负载，
..
WPA看不到ETW事件数据，tracerpt看到
我正在捕获ADO.Net诊断ETW，如 tracerpt : System.Data, TextA, 0, 0, 0, 0, 17, 0, 0x0000000000000000, 0x000007D0, 0x00003A64, 1,
..