文档翻译---

1

https://learn.microsoft.com/en-us/windows/win32/etw/nt-kernel-logger-constants

使用下面的变量识别NT内核的日志会话

SystemTraceControlGuid 用于标识NT内核日志事件跟踪会话的控制GUID
KERNEL_LOGGER_NAME NT内核日志事件跟踪会话的名称

NT内核日志会话是唯一可以接受来自内核事件产生者的会话

NT内核日志会话不接受来自其他事件产生者的事件

如果想要捕捉内核事件和其他事件产生者产生的事件，你必须使用两个分离的会话

ETW

Event Tracing for Windows

ETW提供了一个机制，该机制用于追踪和记录由用户和内核模式的应用程序产生的事件

ETW由Windows系统实现，并且给开发者提供了快速、可靠、多功能的事件追踪特性

ETW使用DEFINE_GUID宏来定义GUID

要想在你的代码中使用SystemTraceControlGuid，你必须在包含Evntrace.h头文件之前先定义#define INITGUID

编译器将会将DEFINE_GUID转换成GUID常量

下面的值定义了可能的NT内核日志会话可以跟踪的内核事件类GUID

你可以传入类GUID到SetTraceCallBack函数来针对每一个事件类进行特殊的处理