ID d'événement Windows 24577 – Kernel-EventTracing : Erreur de configuration de session ETW

Commencez par examiner les sessions ETW actives et identifier les configurations problématiques :

1. Ouvrez Invite de commandes en tant qu'administrateur
2. Listez toutes les sessions ETW actives :
   

   logman query -ets

3. Vérifiez les sessions avec des noms inhabituels ou des états d'erreur
4. Arrêtez les sessions problématiques (remplacez SESSION_NAME par le nom réel) :
   

   logman stop SESSION_NAME -ets

5. Interrogez les fournisseurs ETW pour identifier les conflits :
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=24577} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

6. Vérifiez le Visualiseur d'événements pour des erreurs supplémentaires liées à ETW : Visualiseur d'événements → Journaux Windows → Système, filtrez par ID d'événement 24577

Réinitialisez la configuration ETW en reconstruisant les entrées de registre et en effaçant les données de fournisseur mises en cache :

1. Ouvrez l'Éditeur du Registre en tant qu'Administrateur
2. Accédez à la configuration ETW : HKLM\SYSTEM\CurrentControlSet\Control\WMI
3. Exportez la clé WMI comme sauvegarde avant de faire des modifications
4. Supprimez les entrées de session ETW corrompues sous : HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger
5. Effacez le cache du fournisseur ETW en utilisant PowerShell :
   

   Remove-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\WMI\Security" -Recurse -Force -ErrorAction SilentlyContinue

6. Redémarrez le service du journal des événements Windows :
   

   Restart-Service -Name "EventLog" -Force

7. Reconstruisez les enregistrements des fournisseurs ETW :
   

   wevtutil im C:\Windows\System32\wevtapi.dll

8. Redémarrez le système pour réinitialiser l'infrastructure ETW

Enquêter sur les applications tierces causant des conflits de fournisseurs ETW :

1. Utilisez Process Monitor pour identifier les applications accédant à ETW :
   

   Get-Process | Where-Object {$_.ProcessName -like "*monitor*" -or $_.ProcessName -like "*trace*"} | Select-Object Name, Id, Path

2. Vérifiez les logiciels de surveillance installés et les outils de sécurité
3. Désactivez temporairement les services de surveillance tiers :
   

   Get-Service | Where-Object {$_.DisplayName -like "*Monitor*" -or $_.DisplayName -like "*Trace*"} | Stop-Service -Force

4. Surveillez le Visualiseur d'événements pendant 30 minutes pour voir si l'ID d'événement 24577 cesse de se produire
5. Réactivez les services un par un pour identifier l'application problématique
6. Mettez à jour ou reconfigurez le logiciel identifié avec un enregistrement correct du fournisseur ETW
7. Pour les problèmes persistants, désenregistrez et réenregistrez les fournisseurs ETW :
   

   wevtutil um C:\Program Files\[Application]\manifest.xml
   wevtutil im C:\Program Files\[Application]\manifest.xml

Effectuer une réparation complète de l'infrastructure ETW de Windows lorsque d'autres méthodes échouent :

1. Exécuter le Vérificateur de fichiers système pour réparer les composants ETW corrompus :
   

   sfc /scannow

2. Exécuter DISM pour réparer l'image Windows :
   

   DISM /Online /Cleanup-Image /RestoreHealth

3. Réinitialiser la configuration du service de journal des événements Windows :
   

   sc config eventlog start= auto
   sc config eventlog type= share

4. Effacer et reconstruire les fichiers journaux ETW :
   

   Stop-Service -Name "EventLog" -Force
   Remove-Item -Path "C:\Windows\System32\winevt\Logs\*.evtx" -Force -ErrorAction SilentlyContinue
   Start-Service -Name "EventLog"

5. Réenregistrer toutes les DLL liées à ETW :
   

   regsvr32 /s wevtapi.dll
   regsvr32 /s advapi32.dll
   regsvr32 /s kernel32.dll

6. Reconstruire l'Instrumentation de gestion Windows :
   

   winmgmt /resetrepository

7. Redémarrer le système et surveiller la récurrence de l'ID d'événement 24577

Utilisez des techniques de débogage avancées pour les problèmes ETW persistants :

1. Activez le débogage ETW dans le registre :
   

   New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\WMI" -Name "EnableKernelETWLogging" -Value 1 -PropertyType DWORD -Force

2. Créez une session de trace ETW personnalisée pour le débogage :
   

   logman create trace ETWDebug -p Microsoft-Windows-Kernel-EventTracing -o C:\temp\etwdebug.etl -ets

3. Surveillez l'utilisation des ressources de la session ETW :
   

   Get-Counter "\ETW Sessions(*)\*" | Format-Table -AutoSize

4. Analysez les échecs d'allocation de tampon ETW :
   

   wpa C:\temp\etwdebug.etl

5. Optimisez les paramètres de session ETW dans les applications problématiques en modifiant les tailles de tampon et les minuteries de vidage
6. Implémentez un script de surveillance de session ETW :
   

   while ($true) {
       $sessions = logman query -ets | Select-String "Session"
       if ($sessions.Count -gt 50) {
           Write-Host "Nombre élevé de sessions ETW détecté : $($sessions.Count)"
       }
       Start-Sleep 60
   }

7. Arrêtez la trace de débogage et analysez les résultats :
   

   logman stop ETWDebug -ets