终端防御规避技术-12.微软威胁情报ETW

Microsoft-Windows-Threat-Intelligence（ETW-TI）。它不是给运维排错用的通用跟踪，而是微软专门为端点检测（MDE）打造的行为传感器。理解了它和普通日志的差别，才能明白为什么它是整条 ELAM → PPL-AM 资格链的终点。

一、MDE 是什么

在讲 ETW-TI 之前，得先弄清楚它的主人是谁。

MDE 全称 Microsoft Defender for Endpoint（旧称 ATP），微软自家的企业级 EDR 平台。它的结构和所有 EDR 一样：终端装一个传感器（Agent），把行为数据源源不断传到云端，蓝队在云端门户（security.microsoft.com）上看告警、拼攻击链、做狩猎和处置。

MDE 的本地传感器，就是这本书前面所有章节拆解的对象的集合：

ELAM 驱动开机最早加载（第 11 章）。
内核里注册 OB 回调、minifilter、WFP（第 4、6、7 章）。
EDR 主进程开 PPL-AM 自我保护。
AMSI 拦截脚本载荷（第 10 章）。
ETW-TI 持续采集全链路行为。
本地扫描器扫文件和内存（第 9 章）。

一个最容易混的点：Windows Defender 杀毒和 MDE 不是一回事。

Windows Defender（Defender Antivirus）：个人版 Windows 默认自带的单机杀毒，管文件扫描和病毒查杀。
MDE（Defender for Endpoint）：企业版 EDR 平台，要企业许可证才能完整启用。它把 ETW-TI、全套内核监控、云端分析整条链路打开。

个人电脑哪怕开着 Defender 杀毒，没有接入 MDE 租户，ETW-TI 这条采集链路就不会完整工作。MDE 之所以特殊，在于它直接复用微软原生内置的能力（ELAM、PPL、ETW-TI、AMSI 全是系统自带的），不需要像第三方 EDR 那样自己再开发一套独立驱动。这是它和其他 EDR 最大的架构差别。

二、ETW-TI 是什么

提供者名 Microsoft-Windows-Threat-Intelligence，GUID：

{F4E1897C-BB5D-5668-F1D8-040F4D8DD344}

它在内核里发出的是高价值的"攻击行为"事件，而不是文件特征：

跨进程内存操作：VirtualAllocEx、WriteVirtualMemory、ReadVirtualMemory、ProtectVirtualMemory。
线程注入：CreateRemoteThread、QueueUserAPC、SetThreadContext。
映像加载：哪个进程把哪个映像映射进了哪个目标进程。
与凭据、令牌、进程创建相关的敏感操作。

每条事件都带发起者进程/线程、目标进程和调用栈。注入、无文件攻击、内存马都绕不开这几类操作，所以 ETW-TI 是目前内核层可见度最高的一路数据。

三、和其他 Windows 日志的区别

既然它也是"采集日志"，那和 Windows 上其他日志有什么不同？先把三类东西分开：

Windows 事件日志（EventLog）：eventvwr.msc 里看到的系统、安全、应用程序日志。
普通 ETW：各个子系统独立的提供者（进程、文件、网络各一个），零散。
ETW-TI：ETW 里的一个特殊定制提供者，但设计目标和普通 ETW 完全不同。

逐项对比：

参与讨论