Sessão de rastreamento do agente do kernel NT

A sessão de rastreamento do Kernel Logger NT gera um rastreamento de eventos do kernel do Windows. É uma sessão de rastreamento reservada que é interna no Windows. Você pode executar essa sessão de rastreamento separadamente ou executá-la durante o rastreamento de um driver para revelar as ações do Windows enquanto o driver está em execução. Provedores de rastreamento, como drivers em modo kernel ou aplicativos em modo usuário, não conseguem registrar dados diretamente nesta sessão de rastreamento.

Esta sessão de rastreamento usa um nome de sessão reservado, "NT Kernel Logger", e o GUID do provedor é representado pela constante SystemTraceControlGuid.

Para criar uma sessão do Logger do Kernel NT, use Tracelog ou TraceView.

Os tipos de eventos rastreados durante uma sessão de rastreamento do Logger do Kernel NT são controlados pelo valor do membro EnableFlags da estrutura EVENT_TRACE_PROPERTIES. Essa estrutura é descrita na documentação do SDK do Microsoft Windows.

Por padrão, quando o Tracelog inicia uma sessão do Agente do Kernel NT, ele permite o rastreamento de eventos de processo, thread, E/S de disco físico e TCP/IP. No entanto, você pode habilitar ou desabilitar o rastreamento de eventos específicos das seguintes maneiras:

• Usando parâmetros de linha de comando do Tracelog. Para obter mais informações, consulte Sintaxe de Comando do Tracelog.

• Definindo caixas de seleção na GUI do TraceView .

O provedor do Agente do Kernel NT não pode fazer logon em outras sessões de rastreamento e outros provedores de rastreamento não podem fazer logon na sessão de rastreamento do Agente do Kernel NT. Você não pode usar o parâmetro -guid ao iniciar uma sessão de rastreamento do Agente do Kernel NT e não pode usar o GUID da sessão de rastreamento do agente do Kernel NT no parâmetro -guid para uma sessão de rastreamento padrão.

Para formatar mensagens de rastreamento da sessão de rastreamento do Rastreador do Kernel NT, use o Tracefmt com o arquivo system.tmf. Esse arquivo está incluído no WDK.

Para rastrear eventos de kernel durante a inicialização do sistema, converta uma sessão de rastreamento do Global Logger, que opera durante a inicialização, em uma sessão de rastreamento do NT Kernel Logger. Para obter informações, consulte Sessão global de registro durante a inicialização