[原创]ETW监控-KswordARK功能展示-编程技术-看雪安全社区

# ETW监控-KswordARK功能展示
KswordARK提供了可视化、配备强大筛选器的ETW监控，以及ETW会话管理能力。
![图片描述](upload/attach/202610/1012968_QF53VSHZ4YJ5UUG.webp)
前往<mark class="encrypted">c34K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4j5h3&6Y4N6$3g2A6i4K6u0V1j5$3#2Q4x3V1k6C8M7%4N6G2M7X3c8Q4c8e0c8Q4b7U0S2Q4z5p5u0Q4c8e0S2Q4b7V1c8Q4b7V1c8Q4c8e0k6Q4z5f1y4Q4z5o6m8Q4c8e0k6Q4z5e0k6Q4b7U0m8Q4c8e0N6Q4z5f1q4Q4z5o6c8J5k6h3I4W2j5i4y4W2i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1^5i4@1p5%4i4@1p5K6i4@1f1#2i4K6S2q4i4K6S2n7i4@1f1#2i4K6V1H3i4K6S2q4i4@1f1^5i4@1u0r3i4K6V1H3i4@1f1^5i4@1p5I4i4K6S2o6d9%4y4%4L8%4u0V1y4g2)9J5k6e0q4Q4x3X3g2W2P5r3g2Q4c8e0y4Q4z5o6m8Q4z5o6u0Q4c8e0S2Q4b7V1c8Q4b7f1y4Q4c8e0g2Q4z5o6S2Q4b7U0m8Q4c8e0N6Q4z5f1u0Q4z5e0q4Q4c8e0k6Q4z5p5g2Q4b7e0N6V1L8$3y4C8i4K6u0V1</mark>>ETW部分，详细理解各布局含义。
![图片描述](upload/attach/202610/1012968_XQGVMFPQPX8WSVV.webp)
左上角可见常见ETW会话集合。选择想要监听的事件。
![图片描述](upload/attach/202610/1012968_YYA9B37PVMXEBC2.webp)
中间列出了所有可解读的ETW事件，可以按需勾选。和左边的列表会有部分重叠。
右边列出了所有系统中已有的ETW会话，右键菜单可以关闭ETW会话。
![图片描述](upload/attach/202610/1012968_RS7B5AVRRNREKP2.webp)
勾选完想要监听的事件过后，在下面配置ETW筛选器。ETW筛选器分为简单和详细，默认情况下建议使用简单筛选器。
![图片描述](upload/attach/202610/1012968_X6QY2N3Y7NFE5PY.webp)

筛选器分为前置和后置筛选器，能筛选的选项完全相同，不同的是：命中前置筛选器的就会被记录，命中后置筛选器的才会被展示在列表。修改后置筛选器可以从已接收的事件列表筛选，不会导致事件丢失，前置筛选器没匹配中的就再也回不来了。
双击每一次ETW事件可以展开详情。支持导出操作。
![图片描述](upload/attach/202610/1012968_R86CHCASHGWDTUN.webp)

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！