事件追蹤

事件追蹤技術概觀。

若要開發事件追蹤，您需要下列標頭：

• evntcons.h
• evntprov.h
• evntrace.h
• relogger.h
• securitybaseapi.h
• tdh.h

如需這項技術的程式設計指導方針，請參閱：

• 事件追蹤

列舉

_TDH_IN_TYPE 定義追蹤資料協助程式 (TDH) 支援的 [in] 類型。
_TDH_OUT_TYPE 定義追蹤資料協助程式支援的 [out] 類型， (TDH) 。
DECODING_SOURCE 定義事件資料的來源。
ETW_PROCESS_HANDLE_INFO_TYPE 指定將在追蹤處理會話上執行的作業。
ETW_PROCESS_TRACE_MODES 指定支援的進程追蹤模式。
ETW_PROVIDER_TRAIT_TYPE 指定 Windows 事件追蹤 (ETW) 支援之提供者特性的類型。
EVENT_FIELD_TYPE 定義要擷取的提供者資訊。
EVENT_INFO_CLASS EVENT_INFO_CLASS列舉類型會與 EventSetInformation 函式搭配使用，以指定要在 ETW 事件提供者註冊上執行的組態作業。
EVENTSECURITYOPERATION 定義 EventAccessControl 函式修改的安全性描述元元件。
MAP_FLAGS 定義常數值，指出地圖是否為值對應、點陣圖或圖樣圖。
MAP_VALUETYPE 定義值對應值是否位於 ULONG 資料類型或字串中。
PAYLOAD_OPERATOR 定義追蹤資料協助程式 (TDH) 支援的承載運算子。
PROPERTY_FLAGS 定義屬性是否包含在結構或陣列中。
TDH_CONTEXT_TYPE 定義內容類型。
TEMPLATE_FLAGS 定義常數值，指出事件資料的版面配置。
TRACE_QUERY_INFO_CLASS 與 EnumerateTraceGuidsEx 和 TraceSetInformation 搭配使用，以指定追蹤資訊的類型。

函式

AddLogfileTraceStream 將新的 logfile 型 ETW 追蹤資料流程新增至重新記錄器。
AddRealtimeTraceStream 將新的即時 ETW 追蹤資料流程新增至重新記錄器。
取消 終止重新記錄程式。
複製 建立重複的事件複本。
CloseTrace CloseTrace 函式會關閉使用 OpenTrace 建立的追蹤處理會話。
ControlTraceA ControlTraceA (ANSI) 函式 (evntrace.h) 排清、查詢、更新或停止指定的事件追蹤會話。
ControlTraceW ControlTraceW (Unicode) 函式 (evntrace.h) 排清、查詢、更新或停止指定的事件追蹤會話。
CreateEventInstance 產生新的事件。
CreateTraceInstanceId RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 CreateTraceInstanceId 函式來建立唯一的交易識別碼，並將其對應至註冊控制碼。 接著，提供者可以在呼叫 TraceEventInstance 函式時使用交易識別碼。
CveEventWrite 當您的使用者模式應用程式中偵測到嘗試的安全性弱點惡意探索時，用於發佈事件的追蹤函式。
DECLSPEC_XFGVIRT
EMI_MAP_FORMAT 擷取事件對應格式的宏。
EMI_MAP_INPUT 擷取事件對應輸入的宏。
EMI_MAP_NAME 擷取事件對應名稱的宏。
EMI_MAP_OUTPUT 擷取事件對應輸出的宏。
EnableTrace 追蹤會話控制器會呼叫 EnableTrace，以設定 ETW 事件提供者如何將事件記錄到追蹤會話。 EnableTraceEx2 函式會取代此函式。
EnableTraceEx 追蹤會話控制器會呼叫 EnableTraceEx，以設定 ETW 事件提供者如何將事件記錄到追蹤會話。 EnableTraceEx2 函式會取代此函式。
EnableTraceEx2 追蹤會話控制器會呼叫 EnableTraceEx2，以設定 ETW 事件提供者如何將事件記錄到追蹤會話。
EnumerateTraceGuids 擷取目前在電腦上執行之事件追蹤提供者的相關資訊。 EnumerateTraceGuidsEx 函式會取代此函式。
EnumerateTraceGuidsEx 擷取目前在電腦上執行之事件追蹤提供者的相關資訊。
EtwGetTraitFromProviderTraits
EventAccessControl 新增或修改指定之提供者或會話的許可權。
EventAccessQuery 擷取指定之控制器或提供者的許可權。
EventAccessRemove 移除在登錄中為指定的提供者或會話定義的許可權。
EventActivityIdControl 建立、查詢及設定用於 ETW 事件的活動識別碼。
EventDataDescCreate 設定EVENT_DATA_DESCRIPTOR的值。
EventDescCreate 設定事件描述元的值。
EventDescGetChannel 從事件描述元擷取通道。
EventDescGetId 從事件描述元擷取事件識別碼。
EventDescGetKeyword 從事件描述元擷取 關鍵字。
EventDescGetLevel 從事件描述元擷取嚴重性層級。
EventDescGetOpcode 從事件描述元擷取作業程式碼。
EventDescGetTask 從事件描述元擷取工作。
EventDescGetVersion 從事件描述元擷取版本。
EventDescOrKeyword 將另一個關鍵字新增至事件描述元。
EventDescSetChannel 設定事件描述元的 Channel 成員。
EventDescSetId 設定事件描述元的 Id 成員。
EventDescSetKeyword 設定事件描述元的 Keyword 成員。
EventDescSetLevel 設定事件描述元的 Level 成員。
EventDescSetOpcode 設定事件描述元的 Opcode 成員。
EventDescSetTask 設定事件描述元的工作成員。
EventDescSetVersion 設定事件描述元的 Version 成員。
EventDescZero 將事件描述元初始化為零。
EventEnabled 判斷事件提供者是否應該根據事件的EVENT_DESCRIPTOR產生特定事件。
EventProviderEnabled 判斷事件提供者是否應該根據事件的 Level 和 Keyword 產生特定事件。
EventRegister 註冊 ETW 事件提供者，建立可用來寫入 ETW 事件的控制碼。
EventSetInformation 設定 ETW 事件提供者。
EventUnregister 取消註冊 ETW 事件提供者。
EventWrite 寫入使用目前線程活動識別碼的 ETW 事件。
EventWriteEx 寫入具有活動識別碼、選擇性相關活動識別碼、會話篩選準則和特殊選項的 ETW 事件。
EventWriteString 寫入包含字串做為其資料的 ETW 事件。 不應該使用此函式。
EventWriteTransfer 寫入具有活動識別碼和選擇性相關活動識別碼的 ETW 事件。
FlushTraceA FlushTraceA (ANSI) 函式 (evntrace.h) 會導致事件追蹤會話立即傳遞指定會話的緩衝事件。
FlushTraceW FlushTraceW (Unicode) 函式 (evntrace.h) 會導致事件追蹤會話立即傳遞指定會話的緩衝事件。
GetEventProcessorIndex
GetEventRecord 擷取描述事件的事件記錄。
GetTraceEnableFlags RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 GetTraceEnableFlags 函式來擷取追蹤控制器所指定的啟用旗標，以指出要追蹤的事件類別。 提供者會從其 ControlCallback 函式呼叫此函式。
GetTraceEnableLevel RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 GetTraceEnableLevel 函式來擷取追蹤控制器所指定的啟用層級，以指出要追蹤的事件層級。 提供者會從其 ControlCallback 函式呼叫此函式。
GetTraceLoggerHandle RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 GetTraceLoggerHandle 函式來擷取它應該寫入事件的事件追蹤會話控制碼。 提供者會從其 ControlCallback 函式呼叫此函式。
GetUserCoNtext 擷取與事件所屬資料流程相關聯的使用者內容。
注入 將非系統產生的事件插入寫入輸出追蹤記錄檔的事件資料流程。
OnBeginProcessTrace 表示追蹤即將開始，以便啟動重新記錄。
OnEvent 指出已在與重新記錄器相關聯的追蹤資料流程上收到事件。
OnFinalizeProcessTrace 表示追蹤即將結束，以便完成重新記錄。
OpenTraceA OpenTraceA (ANSI) 函式 (evntrace.h) 會開啟 ETW 追蹤處理控制碼，以取用來自 ETW 即時追蹤會話或 ETW 記錄檔的事件。
OpenTraceFromBufferStream 建立未直接附加至任何檔案或使用中會話的追蹤處理會話。
OpenTraceFromFile 建立追蹤處理會話以處理 Tracelog .etl 檔案。
OpenTraceFromRealTimeLogger 開啟 ETW 追蹤處理控制碼，以取用來自 ETW 即時追蹤會話或 ETW 記錄檔的事件。
OpenTraceFromRealTimeLoggerWithAllocationOptions 建立附加至作用中即時 ETW 會話的追蹤處理會話。
OpenTraceW OpenTraceW (Unicode) 函式 (evntrace.h) 會開啟 ETW 追蹤處理控制碼，以取用來自 ETW 即時追蹤會話或 ETW 記錄檔的事件。
PEI_PROVIDER_NAME 擷取提供者事件資訊 (PEI) 名稱的宏。
PENABLECALLBACK ETW 事件提供者選擇性地定義 EnableCallback 函式以接收設定變更通知。 PENABLECALLBACK 類型會定義這個回呼函式的指標。 EnableCallback 是應用程式定義函數名稱的預留位置。
PETW_BUFFER_CALLBACK ProcessTrace 將叫用之 BufferCallback 的函式定義。
PETW_BUFFER_COMPLETION_CALLBACK 當 ProcessTraceAddBufferToBufferStream 完成緩衝區時，將會引發回呼的函式定義。 此回呼通常會適當地釋放緩衝區
PEVENT_CALLBACK ETW 事件取用者會實作此回呼，以接收來自追蹤處理會話的事件。 EventRecordCallback 回呼會取代此回呼。
PEVENT_RECORD_CALLBACK ETW 事件取用者會實作此回呼，以接收來自追蹤處理會話的事件。 PEVENT_RECORD_CALLBACK類型會定義這個回呼函式的指標。 EventRecordCallback 是應用程式定義函數名稱的預留位置。
PEVENT_TRACE_BUFFER_CALLBACKA PEVENT_TRACE_BUFFER_CALLBACKA (ANSI) (evntrace.h) 函式會取得 ETW 在追蹤處理會話期間所傳送之每個事件緩衝區的統計資料。
PEVENT_TRACE_BUFFER_CALLBACKW PEVENT_TRACE_BUFFER_CALLBACKW (Unicode) (evntrace.h) 函式會取得 ETW 在追蹤處理會話期間傳送之每個事件緩衝區的統計資料。
PFI_FIELD_MESSAGE 擷取提供者欄位資訊 (PFI) 欄位訊息的宏。
PFI_FIELD_NAME 擷取提供者欄位資訊 (PFI) 功能變數名稱的宏。
PFI_FILTER_MESSAGE 篩選提供者欄位資訊 (PFI) 欄位訊息的宏。
PFI_PROPERTY_NAME 擷取提供者欄位資訊 (PFI) 屬性名稱的宏。
ProcessTrace 將事件從一或多個追蹤處理會話傳遞至取用者。
ProcessTrace 將事件從相關聯的追蹤資料流程傳遞至取用者。
ProcessTraceAddBufferToBufferStream 提供 ETW 追蹤緩衝區給 OpenTraceFromBufferStream 所建立的處理會話。
ProcessTraceBufferDecrementReference 釋放 ProcessTraceBufferIncrementReference 所新增之 Buffer 的參考。
ProcessTraceBufferIncrementReference 在提供的 BufferCallback 期間呼叫，以防止釋放它，直到呼叫端完成為止。
QueryAllTracesA QueryAllTracesA (ANSI) 函式 (evntrace.h) 函式會擷取呼叫者可查詢之所有事件追蹤會話的屬性和統計資料。
QueryAllTracesW QueryAllTracesW (Unicode) 函式 (evntrace.h) 函式會擷取呼叫者可查詢之所有事件追蹤會話的屬性和統計資料。
QueryTraceA QueryTraceA (ANSI) 函式 (evntrace.h) 會擷取指定事件追蹤會話的屬性設定和會話統計資料。
QueryTraceProcessingHandle 擷取 OpenTrace 所開啟之 ETW 追蹤處理會話的相關資訊。
QueryTraceW QueryTraceW (Unicode) 函式 (evntrace.h) 會擷取指定事件追蹤會話的屬性設定和會話統計資料。
RegisterCallback 向重新記錄器註冊 IEventCallback 的實作，以發出追蹤活動 (啟動、停止和記錄新事件) 的訊號。
RegisterTraceGuidsA RegisterTraceGuidsA (ANSI) 函式 (evntrace.h) 是過時的函式，而且新的程式碼應該使用提供的替代方法。
RegisterTraceGuidsW RegisterTraceGuidsW (Unicode) 函式 (evntrace.h) 是過時的函式，而且新的程式碼應該使用提供的替代方法。
RemoveTraceCallback RemoveTraceCallback 函式會停止 EventCallback 函式接收事件追蹤類別的事件。 此函式已過時。
SetActivityId 設定目前線程中的活動識別碼。
SetCompressionMode 啟用或停用重新記錄追蹤上的壓縮。
SetEventDescriptor 設定事件的事件描述項。
SetOutputFilename 指出 ETW 應該寫入新重新記錄追蹤的檔案。
SetPayload 設定事件的承載。
SetProcessId 將事件指派給特定進程。
SetProcessorIndex 設定目前線程中的處理器索引。
SetProviderId 設定追蹤事件之提供者的 GUID。
SetThreadId 設定產生事件的執行緒識別碼。
SetThreadTimes 設定目前線程中的執行緒時間。
SetTimeStamp 設定事件發生的時間。
SetTraceCallback SetTraceCallback 函式會指定 EventCallback 函式來處理指定事件追蹤類別的事件。 此函式已過時。
StartTraceA StartTrace 函式會啟動事件追蹤會話。 (ANSI)
StartTraceW StartTrace 函式會啟動事件追蹤會話。 (Unicode)
StopTraceA StopTraceA (ANSI) 函式 (evntrace.h) 會停止指定的事件追蹤會話。 ControlTrace 函式會取代此函式。
StopTraceW StopTraceW (Unicode) 函式 (evntrace.h) 會停止指定的事件追蹤會話。 ControlTrace 函式會取代此函式。
TdhAggregatePayloadFilters 將單一提供者的多個承載篩選匯總成單一資料結構，以便與 EnableTraceEx2 函式搭配使用。
TdhCleanupPayloadEventFilterDescriptor 釋放使用 TdhAggregatePayloadFilters 函式所建立之承載篩選的匯總結構。
TdhCloseDecodingHandle 釋放與輸入解碼控制碼相關聯的任何資源。
TdhCreatePayloadFilter 針對要與 EnableTraceEx2 函式搭配使用的單一承載，建立單一篩選。
TdhDeletePayloadFilter 釋放由 TdhCreatePayloadFilter 函式配置給單一承載篩選的記憶體。
TdhEnumerateManifestProviderEvents 擷取提供者資訊清單中存在的事件清單。
TdhEnumerateProviderFieldInformation 擷取指定提供者的指定欄位中繼資料。
TdhEnumerateProviderFilters 列舉資訊清單中定義之指定提供者的篩選。
TdhEnumerateProviders 擷取已在電腦上註冊 MOF 類別或資訊清單檔案的提供者清單。
TdhEnumerateProvidersForDecodingSource 擷取已在電腦上註冊 MOF 類別或資訊清單檔案的提供者清單。
TdhFormatProperty 格式化要顯示的屬性值。
TdhGetDecodingParameter 擷取解碼參數的值。
TdhGetEventInformation 擷取有關事件的中繼資料。
TdhGetEventMapInformation 擷取事件中包含的事件對應相關資訊。
TdhGetManifestEventInformation 擷取資訊清單中事件的相關中繼資料。
TdhGetProperty 從事件資料擷取屬性值。
TdhGetPropertySize 擷取事件資料中一或多個屬性值的大小。
TdhGetWppMessage 擷取內嵌在EVENT_RECORD結構中的格式化 WPP 訊息。
TdhGetWppProperty 擷取與 WPP 訊息相關聯的特定屬性。
TdhLoadManifest 載入用來解碼記錄檔的資訊清單。
TdhLoadManifestFromBinary 採用以 Null 終止的二進位檔案路徑，其中包含解碼特定事件提供者所需的中繼資料資源。
TdhLoadManifestFromMemory 從記憶體載入資訊清單。
TdhOpenDecodingHandle 開啟解碼控制碼。
TdhQueryProviderFieldInformation 從符合指定值之域值的事件描述擷取指定欄位的資訊。
TdhSetDecodingParameter 設定解碼參數的值。
TdhUnloadManifest 卸載 TdhLoadManifest 函式所載入的資訊清單。
TdhUnloadManifestFromMemory 從記憶體卸載資訊清單。
TEI_ACTIVITYID_NAME 擷取追蹤事件資訊 (TEI) 活動識別碼名稱的宏。
TEI_CHANNEL_NAME 擷取追蹤事件資訊 (TEI) 通道名稱的宏。
TEI_EVENT_MESSAGE 擷取追蹤事件資訊 (TEI) 訊息的宏。
TEI_KEYWORDS_NAME 擷取追蹤事件資訊 (TEI) 關鍵字名稱的宏。
TEI_LEVEL_NAME 擷取追蹤事件資訊 (TEI) 層級名稱的宏。
TEI_MAP_NAME 擷取追蹤事件資訊 (TEI) 對應名稱的宏。
TEI_OPCODE_NAME 擷取追蹤事件資訊 (TEI) opcode 名稱的宏。
TEI_PROPERTY_NAME 擷取追蹤事件資訊 (TEI) 屬性名稱的宏。
TEI_PROVIDER_MESSAGE 擷取追蹤事件資訊 (TEI) 提供者訊息的宏。
TEI_PROVIDER_NAME 擷取追蹤事件資訊 (TEI) 提供者名稱的宏。
TEI_RELATEDACTIVITYID_NAME 擷取追蹤事件資訊 (TEI) 相關活動識別碼名稱的宏。
TEI_TASK_NAME 擷取追蹤事件資訊 (TEI) 工作名稱的宏。
TraceEvent RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 TraceEvent 函式將結構化事件傳送至事件追蹤會話。
TraceEventInstance RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 TraceEventInstance 函式，將結構化事件傳送至具有實例識別碼的事件追蹤會話。
TraceMessage RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 TraceMessage 函式，將以訊息為基礎的 (TMF 型 WPP) 事件傳送至事件追蹤會話。
TraceMessageVa RegisterTraceGuids 型 (「傳統」) 事件提供者會使用 TraceMessageVa 函式，使用 va_list 參數將訊息型 (TMF 型 WPP) 事件傳送至事件追蹤會話。
TraceQueryInformation 提供事件追蹤會話的相關資訊。
TraceSetInformation 設定事件追蹤會話設定。
UnregisterTraceGuids 取消註冊使用 RegisterTraceGuids 註冊的「傳統」 (Windows 2000 樣式) ETW 事件追蹤提供者。
UpdateTraceA UpdateTraceA (ANSI) 函式 (evntrace.h) 會更新指定事件追蹤會話的屬性設定。
UpdateTraceW UpdateTraceW (Unicode) 函式 (evntrace.h) 會更新指定事件追蹤會話的屬性設定。
WMIDPREQUEST RegisterTraceGuids 型 (「傳統」) 事件提供者會實作此函式，以接收來自控制器的通知。 WMIDPREQUEST 類型會定義這個回呼函式的指標。 ControlCallback 是應用程式定義函數名稱的預留位置。

介面

ITraceEvent 提供與特定事件相關的資料存取權。
ITraceEventCallback 由 ETW 用來在追蹤程式開始、結束和記錄事件時，將資訊提供給重新記錄器。
ITraceRelogger 提供重新記錄功能的存取權，可讓您從 ETW 追蹤資料流程操作和重新記錄事件。

結構

CLASSIC_EVENT_ID 識別您要啟用呼叫堆疊追蹤的核心事件。
ENABLE_TRACE_PARAMETERS 包含用來透過 EnableTraceEx2 啟用提供者的資訊。
ENABLE_TRACE_PARAMETERS_V1 包含用來透過 EnableTraceEx2 啟用提供者的資訊。 這個結構已經過時。
ETW_BUFFER_CALLBACK_INFORMATION 提供給 BufferCallback 作為 ConsumerInfo 參數，並提供目前處理會話的詳細資料。
ETW_BUFFER_CONTEXT 提供事件的內容資訊。
ETW_BUFFER_CONTEXT 提供事件的內容資訊。 (ETW_BUFFER_CONTEXT)
ETW_BUFFER_HEADER ETW 緩衝區的標頭結構。
ETW_OPEN_TRACE_OPTIONS 提供 OpenTraceFromBufferStream、OpenTraceFromFile、OpenTraceFromRealTimeLogger、OpenTraceFromRealTimeLoggerWithAllocationOptions 函式的組態參數。
ETW_TRACE_PARTITION_INFORMATION 包含從 ETW 追蹤提取的資料分割資訊。
EVENT_DATA_DESCRIPTOR EVENT_DATA_DESCRIPTOR結構會定義將在 ETW 事件中使用的資料區塊。
EVENT_DESCRIPTOR EVENT_DESCRIPTOR 結構包含 ETW 事件的相關資訊 (中繼資料) 。
EVENT_DESCRIPTOR 包含定義事件的中繼資料。
EVENT_EXTENDED_ITEM_EVENT_KEY
EVENT_EXTENDED_ITEM_INSTANCE 如果使用 TraceEventInstance 來記錄相關事件，則定義事件之間的關聯性。
EVENT_EXTENDED_ITEM_PEBS_INDEX
EVENT_EXTENDED_ITEM_PMC_COUNTERS
EVENT_EXTENDED_ITEM_PROCESS_START_KEY
EVENT_EXTENDED_ITEM_RELATED_ACTIVITYID 定義這個事件的父事件。
EVENT_EXTENDED_ITEM_STACK_KEY32
EVENT_EXTENDED_ITEM_STACK_KEY64
EVENT_EXTENDED_ITEM_STACK_TRACE32 定義 32 位電腦上的呼叫堆疊。
EVENT_EXTENDED_ITEM_STACK_TRACE64 定義 64 位電腦上的呼叫堆疊。
EVENT_EXTENDED_ITEM_TS_ID 定義記錄事件的終端機會話。
EVENT_FILTER_DESCRIPTOR 定義會話傳遞至提供者啟用回呼函式的篩選資料。
EVENT_FILTER_EVENT_ID 定義事件識別碼或堆疊逐步解說篩選EVENT_FILTER_DESCRIPTOR結構中使用的事件識別碼。
EVENT_FILTER_EVENT_NAME 定義事件名稱或 Stalk 逐步解說名稱篩選EVENT_FILTER_DESCRIPTOR結構中使用的事件識別碼。
EVENT_FILTER_HEADER 定義在檢測資訊清單中定義的篩選資料之前必須的標頭資料。
EVENT_FILTER_LEVEL_KW 定義堆疊逐步解說層級關鍵字篩選EVENT_FILTER_DESCRIPTOR結構中使用的事件識別碼。
EVENT_HEADER EVENT_HEADER結構 (evntcons.h) 會定義事件的相關資訊。
EVENT_HEADER relogger.h (EVENT_HEADER 結構) 定義事件的相關資訊。
EVENT_HEADER_EXTENDED_DATA_ITEM EVENT_HEADER_EXTENDED_DATA_ITEM 結構 (evntcons.h) 會定義 ETW 在事件資料中收集的擴充資料。
EVENT_HEADER_EXTENDED_DATA_ITEM EVENT_HEADER_EXTENDED_DATA_ITEM結構 (relogger.h) 會定義 ETW 在事件資料中收集的擴充資料。
EVENT_INSTANCE_HEADER EVENT_INSTANCE_HEADER 結構包含 TraceEventInstance 所撰寫之所有事件通用的標準事件追蹤資訊。
EVENT_INSTANCE_INFO EVENT_INSTANCE_INFO 結構會將唯一的交易識別碼對應至 TraceEventInstance 的已註冊事件追蹤類別。
EVENT_MAP_ENTRY 定義單一值對應專案。
EVENT_MAP_INFO 定義事件對應的相關中繼資料。
EVENT_PROPERTY_INFO 提供事件或篩選之單一屬性的相關資訊。
EVENT_RECORD EVENT_RECORD 結構 (evntcons.h) 會定義 ETW 所傳遞事件的配置。
EVENT_RECORD EVENT_RECORD 結構 (relogger.h) 定義 ETW 所傳遞之事件的版面配置。
EVENT_TRACE EVENT_TRACE 結構可用來將事件資訊傳遞至事件追蹤取用者。
EVENT_TRACE_HEADER EVENT_TRACE_HEADER 結構包含 TraceEvent 所撰寫之所有事件通用的標準事件追蹤資訊。
EVENT_TRACE_LOGFILEA EVENT_TRACE_LOGFILEA (ANSI) 結構 (evntrace.h) 會儲存追蹤資料來源的相關資訊。
EVENT_TRACE_LOGFILEW EVENT_TRACE_LOGFILEW (Unicode) 結構 (evntrace.h) 會儲存追蹤資料來源的相關資訊。
EVENT_TRACE_PROPERTIES EVENT_TRACE_PROPERTIES 結構包含事件追蹤會話的相關資訊，並搭配 StartTrace 和 ControlTrace 等 API 使用。
EVENT_TRACE_PROPERTIES_V2 EVENT_TRACE_PROPERTIES_V2 結構包含事件追蹤會話的相關資訊，並搭配 StartTrace 和 ControlTrace 等 API 使用。
MOF_FIELD 您可以使用MOF_FIELD結構，將事件資料附加至EVENT_TRACE_HEADER或EVENT_INSTANCE_HEADER結構。
PAYLOAD_FILTER_PREDICATE 定義事件承載篩選述詞，描述如何篩選追蹤會話中的單一欄位。
PROPERTY_DATA_DESCRIPTOR 定義要擷取的屬性。
PROVIDER_ENUMERATION_INFO 定義已在電腦上註冊 MOF 或資訊清單的提供者陣列。
PROVIDER_EVENT_INFO 定義提供者資訊清單中的事件陣列。
PROVIDER_FIELD_INFO 定義欄位資訊。
PROVIDER_FIELD_INFOARRAY 定義所要求欄位的相關中繼資料資訊。
PROVIDER_FILTER_INFO 定義篩選及其資料。
TDH_CONTEXT 定義剖析事件所需的其他資訊。
TRACE_ENABLE_INFO 定義會話，以及會話用來啟用提供者的資訊。
TRACE_EVENT_INFO 定義事件的相關資訊。
TRACE_GUID_INFO EnumerateTraceGuidsEx 傳回。 定義啟用提供者之會話清單的標頭。
TRACE_GUID_PROPERTIES EnumerateTraceGuids 傳回。 包含事件追蹤提供者的相關資訊。
TRACE_GUID_REGISTRATION 與 RegisterTraceGuids 搭配使用，以註冊事件追蹤類別。
TRACE_LOGFILE_HEADER TRACE_LOGFILE_HEADER 結構包含事件追蹤會話及其事件的相關資訊。
TRACE_PERIODIC_CAPTURE_STATE_INFO 與 TraceQueryInformation 和 TraceSetInformation 搭配使用，以取得或設定與定期擷取狀態相關的資訊。
TRACE_PROVIDER_INFO 定義提供者的 GUID 和名稱。
TRACE_PROVIDER_INSTANCE_INFO 定義提供者 GUID 的實例。
TRACE_VERSION_INFO 決定 TraceLogging 會話的版本資訊。