Event Tracing for Windows y telemetría del kernel

Abre mecanismo_amsi_etw.txt en la consola del laboratorio con el entorno rt-telemetria-edr-guia.

ETW opera mediante tres entidades: proveedores que emiten eventos (Providers), controladores que inician y detienen las sesiones de rastreo (Controllers), y consumidores que procesan los flujos de datos en tiempo real (Consumers), como el motor analítico del EDR.

Revisa el apartado 2 en mecanismo_amsi_etw.txt.

Para nutrir a las soluciones defensivas con telemetría que no dependa de librerías en modo usuario, Microsoft incorporó un proveedor especial accesible únicamente para controladores con firmas de protección ELAM (Early Launch Anti-Malware).

Si un operador desparchea las funciones en ntdll.dll o utiliza llamadas directas al sistema (Direct Syscalls), los ganchos en modo usuario son sorteados.

Sin embargo, cuando la instrucción de llamada al sistema llega al núcleo (ntoskrnl.exe), el kernel emite el evento correspondiente a través de su proveedor interno de telemetría, delatando operaciones como la asignación de memoria ejecutable o la apertura de procesos protegidos.