文章总结： EtwSuite是开源WindowsETW分析平台，助蓝队打破ETW黑盒。它提供Provider浏览、实时采集与录制等功能，适用于威胁狩猎、应急响应取证及规则开发。虽消费ETW-TI需PPL授权且不支持evtx，但该工具降低了分析门槛，建议蓝队纳入工具箱发现监控盲区。 综合评分： 88 文章分类： 安全工具,应急响应,安全运营,终端安全,安全建设

EtwSuite：开源ETW(Windows事件跟踪) 全能分析套件介绍

赛博57库 赛博57库

赛博57库

2026年6月28日 05:00 广东

在小说阅读器读本章

去阅读

| | | — | | 安全工具 · 蓝队视角 EtwSuite 蓝队的 Windows ETW 全能分析平台 |

| | | — | | Windows 系统中有一套鲜为人知的”神经网络”——ETW（Event Tracing for Windows），它是 EDR 产品和安全监控工具的核心数据来源。但对大多数安全从业者来说，ETW 的内部结构就像一个黑盒。EtwSuite 正是为了打破这个黑盒而生：一个开源的 ETW 全能分析平台，让蓝队可以像使用浏览器一样自由探索 Windows 的事件追踪体系。 |

| | | — | | 01 · ETW 是什么，为什么蓝队必须懂它 ETW 是 Windows 内置的高性能事件追踪框架，从 Windows 2000 起便存在于系统内核中。与普通的应用日志不同，ETW 工作在内核层，可以近乎零开销地追踪进程创建、文件访问、网络连接、内存分配等数百类系统事件。 整个 ETW 体系由三个角色组成：Provider（提供者）负责产生事件，每个 Provider 都有唯一的 GUID 标识；Session（会话）负责收集事件流；Consumer（消费者）负责读取和分析这些事件。Sysmon、Windows Defender ATP、各大 EDR 产品——背后都在消费特定的 ETW Provider。 其中有一个 Provider 尤为特殊：Microsoft-Windows-Threat-Intelligence（简称 ETW-TI）。它能感知进程注入、内存映射、shellcode 执行等高价值攻击行为，是 EDR 产品的”千里眼”。也正因如此，ETW-TI 被设计成只有获得 PPL（Protected Process Light）签名者授权的进程才能消费——这同时也是攻击者最想禁用的目标。 |

| | | — | | 02 · EtwSuite 是什么 EtwSuite 是由安全研究员 Idov31（Ido Veltzman）开发的开源 ETW 检视与分析工具，灵感来自 EtwExplorer，使用 C# + Windows App SDK 构建，支持 x64 和 ARM64 架构。项目于 2026 年 6 月首次发布，三周内迭代至 v1.1.0，已获 76 Star。 工具的设计目标是”一站式 ETW 分析平台”：从 Provider 发现，到实时事件采集，再到离线回放分析，整个流程无需在命令行、PowerShell 和第三方工具之间反复切换。 |

| | | — | | 03 · 六大核心功能 |

| | | | — | — | | 功能模块 | 说明 | | Provider 浏览器 | 按名称或 GUID 搜索所有注册 Provider，查看 Schema 与事件元数据 | | 实时事件采集 | 配置 Level / Keyword 掩码，实时消费指定 Provider 的事件流 | | ETL 录制 | 将会话录制为原生 .etl 文件，支持后续离线分析 | | 多格式导出 | 事件数据导出为 JSON / CSV，支持重新导入分析 | | 事件过滤 | 支持通配符模式和 SQL 风格表达式两种过滤方式 | | 会话模板 | Provider + 过滤器组合存入 SQLite，一键复现分析环境 |

| | | — | | v1.1.0 新增了对 Microsoft-Windows-Security-Auditing Provider 的支持，这个 Provider 正是 Windows 安全事件日志的核心来源。 |

| | | — | | 04 · 技术架构 EtwSuite 采用 MVVM 架构，分为四个清晰的层次： Etw 层——ETW 核心集成：使用 Microsoft.O365.Security.Native.ETW（krabs）库实现实时事件消费，Microsoft.Diagnostics.Tracing.TraceEvent 负责 ETL 文件的录制与回放，TDH（Trace Data Helper）用于解析事件字段类型。 Core 层——业务逻辑，独立于 UI，便于测试和复用。 ViewModels 层——数据绑定，驱动 WinUI 界面实时刷新。 存储层——SQLite 持久化会话模板，JSON/CSV 负责数据交换。 |

▲ EtwSuite 数据流架构：ETW Providers → 采集层 → 分析与导出

| | | — | | 05 · 蓝队使用场景 |

| | | — | | 威胁狩猎（Threat Hunting） 订阅 Microsoft-Windows-Kernel-Process 等 Provider，实时捕获可疑进程注入或异常内存操作，无需部署额外 Agent。 |

| | | — | | 事件响应（Incident Response） 在疑似受感染主机上录制完整 ETL 文件，带回离线环境分析，保留完整的事件时间线而不依赖第三方日志平台。 |

| | | — | | ETW 覆盖面审计 浏览系统上所有注册的 ETW Provider，评估当前安全产品订阅了哪些遥测通道，发现监控盲区。 |

| | | — | | 安全产品研究与检测规则开发 在受控环境中重现攻击行为，观察对应 ETW 事件的字段结构，精确定制检测规则的字段筛选条件。 |

| | | — | | 06 · ETW-TI：最敏感的 Provider Microsoft-Windows-Threat-Intelligence 是整个 ETW 体系中权限要求最高的 Provider。它能在内核层捕获： |

| | | | — | — | | ETW-TI 能感知的行为 | 对应攻击技术 | | 远程进程内存写入 | Classic 进程注入（WriteProcessMemory） | | 可执行内存映射 | 内存映射注入、shellcode 加载 | | APC 队列插入 | APC 注入技术 | | 虚拟内存保护变更 | RWX 权限翻转（shellcode staging） |

| | | — | | EtwSuite 可以浏览 ETW-TI 的 Schema（事件结构），但要实时消费其事件，需要以 PPL 级别授权运行。这个限制是 Windows 安全模型的一部分——同时也是为什么红队总是把”禁用 ETW-TI”列为最优先的防御规避目标。 |

| | | — | | 07 · 安装与使用 环境要求：Windows 10 1809 或更高版本，.NET 8 SDK，Visual Studio 2022，Windows App SDK。 直接从 GitHub Releases 下载预编译安装包（x64 或 ARM64），运行 .msix 安装程序即可。部分 Provider 的实时消费需要管理员权限运行。 |

| | | — | | 注意 当前版本不支持 .evtx 格式（Windows 事件查看器的标准格式）和其他第三方日志格式，只支持 EtwSuite 自身导出的 .json / .csv 以及系统原生 .etl 文件。 |

| | | — | | 08 · 作者：从进攻到防守 Idov31 此前以进攻性安全工具闻名：Nidhogg（Windows 内核 Rootkit，25+ 功能）、Sandman（基于 NTP 的 C2 后门）、Cronos（利用 Waitable Timer 的 Sleep 混淆技术）。EtwSuite 是他首个明确定位蓝队的工具。 这种”进攻者写防御工具”的路径并不罕见——深入理解攻击方如何滥用 ETW，才能更清楚地知道蓝队应该从哪里看、应该订阅哪些 Provider、应该在什么字段上建立检测规则。 |

| | | — | | 总结 EtwSuite 填补了 ETW 分析工具领域的一个空白：一个现代、开源、GUI 友好的工具，让蓝队无需深入 Win32 API 就能探索 ETW 的全貌。无论是用于威胁狩猎、IR 取证，还是构建更精确的检测规则，它都是一个值得放进工具箱的选项。 |

| | | — | | 技术内容仅供学习与研究，请勿用于非法用途。 |

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：赛博57库 赛博57库 赛博57库《EtwSuite：开源ETW(Windows事件跟踪) 全能分析套件介绍》