Windows Event Trace Log (ETL)
| Format | Windows Event Trace Log (ETL) |
|---|---|
| Kurzname | ETL |
| Kategorie | Log |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das Dateiformat von Sitzungen der Ereignisablaufverfolgung für Windows (ETW), einschließlich des Kernel Loggers. Der undokumentierte Container besteht aus Puffern fester Größe mit jeweils einem Puffer-Header, die Ereignisse verschiedener Provider enthalten (manifestbasiert, TraceLogging oder MOF); zum Dekodieren der Ereignisse ist das Schema des Providers nötig. AutoLogger-Sitzungen schreiben standardmäßig nach %SystemRoot%\System32\LogFiles\WMI\<session>.etl (optional mit einem Zähler pro Boot). ETL-Dateien entstehen auch bei Diagnose- und Netzwerk-Tracing (z. B. mit netsh trace aufgezeichnete Netzwerkmitschnitte) und können System-, Netzwerk- und Anwendungsaktivität enthalten, die in den Ereignisprotokollen nicht erfasst ist. Keine feste Dateisignatur.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
.etl
Referenzen
- Configuring and Starting an AutoLogger Session (Microsoft) https://learn.microsoft.com/en-us/windows/win32/etw/configuring-and-starting-an-autologger-session
- etl-parser — Event Trace Log reader (Airbus CERT) https://github.com/airbus-cert/etl-parser
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Event Trace Log (ETL)“. https://kalink0.github.io/crush-forensics/formats/de/etl/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden