ID d'événement Windows 8224 – Kernel-EventTracing : Échec de démarrage de la session ETW

Commencez par examiner les sessions ETW actuelles et les limites du système pour identifier les contraintes de ressources.

1. Ouvrez Invite de commandes en tant qu'administrateur
2. Listez les sessions ETW actives :
   

   logman query -ets

3. Vérifiez les limites des sessions ETW dans le registre :
   

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\WMI" -Name "EtwMaxLoggers"

4. Affichez des informations détaillées sur la session :
   

   wevtutil gl Microsoft-Windows-Kernel-EventTracing/Analytic

5. Si vous approchez des limites, arrêtez les sessions inutiles :
   

   logman stop "SessionName" -ets

Examinez les détails spécifiques de l'ID d'événement 8224 pour comprendre la cause racine.

1. Ouvrez Observateur d'événements → Journaux Windows → Système
2. Filtrez pour l'ID d'événement 8224:
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=8224} -MaxEvents 10 | Format-List *

3. Extrayez les codes d'erreur et les détails de session:
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=8224} | ForEach-Object { $_.Message }

4. Recoupez les codes d'erreur avec les définitions d'erreurs Win32:
   

   net helpmsg [ErrorCode]

5. Vérifiez les motifs dans le timing et la fréquence:
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=8224; StartTime=(Get-Date).AddDays(-7)} | Group-Object TimeCreated.Hour

Modifiez la configuration du système pour fournir plus de ressources aux opérations ETW.

1. Sauvegardez la configuration actuelle d'ETW :
   

   reg export "HKLM\SYSTEM\CurrentControlSet\Control\WMI" C:\ETW_backup.reg

2. Augmentez le nombre maximum de traceurs ETW (nécessite un redémarrage) :
   

   Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\WMI" -Name "EtwMaxLoggers" -Value 128 -Type DWord

3. Augmentez les limites de mémoire tampon ETW :
   

   Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\WMI" -Name "EtwMaxKernelBuffer" -Value 2048 -Type DWord

4. Configurez le nettoyage automatique d'ETW :
   

   Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger" -Name "BufferSize" -Value 1024 -Type DWord

5. Redémarrez le système pour appliquer les modifications
6. Vérifiez les nouvelles limites :
   

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\WMI" | Select-Object Etw*

Effectuer une analyse complète des ressources système pour identifier les contraintes sous-jacentes.

1. Vérifier la mémoire système disponible :
   

   Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object TotalVisibleMemorySize, FreePhysicalMemory

2. Analyser l'utilisation de la mémoire par processus :
   

   Get-Process | Sort-Object WorkingSet -Descending | Select-Object -First 10 Name, WorkingSet, PagedMemorySize

3. Vérifier les pools de mémoire du noyau :
   

   Get-Counter "\Memory\Pool Nonpaged Bytes", "\Memory\Pool Paged Bytes"

4. Surveiller les compteurs de performance liés à ETW :
   

   Get-Counter "\ETW Sessions(*)\*" -ErrorAction SilentlyContinue

5. Vérifier les fuites de mémoire chez les consommateurs ETW :
   

   Get-WmiObject -Class Win32_Process | Where-Object {$_.Name -like "*log*" -or $_.Name -like "*trace*"} | Select-Object Name, WorkingSetSize

6. Examiner les journaux d'événements système pour les erreurs liées à la mémoire :
   

   Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3} -MaxEvents 50 | Where-Object {$_.Message -like "*memory*"}

Mettre en œuvre des procédures complètes de gestion et de dépannage ETW.

1. Énumérer tous les fournisseurs ETW :
   

   logman query providers | Out-File C:\ETW_providers.txt

2. Vérifier l'état d'enregistrement du fournisseur :
   

   Get-WinEvent -ListProvider * | Where-Object {$_.Name -like "*kernel*"} | Select-Object Name, Id

3. Créer une session de diagnostic ETW avec des ressources minimales :
   

   logman create trace "DiagnosticTrace" -p "Microsoft-Windows-Kernel-EventTracing" -o C:\DiagTrace.etl -bs 64 -nb 2 2

4. Surveiller la santé de la session ETW :
   

   $sessions = logman query -ets
   foreach($session in $sessions) { Write-Host "Session: $session" }

5. Mettre en œuvre un script de nettoyage ETW automatisé :
   

   $oldSessions = logman query -ets | Where-Object {$_ -like "*temp*" -or $_ -like "*debug*"}
   foreach($session in $oldSessions) { logman stop $session -ets }

6. Configurer la surveillance de la session ETW via une tâche planifiée :
   

   Register-ScheduledTask -TaskName "ETW-Monitor" -Trigger (New-ScheduledTaskTrigger -Daily -At "02:00") -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\ETW-Cleanup.ps1")