‏EtwWatcher: مرورگر آنلاین رویدادهای ویندوز

EtwWatcher یه وب‌اپ استاتیکه که برای محققان امنیتی ویندوز، threat hunterها، و کسایی که با اینترنال‌های ویندوز سروکار دارن ساخته شده. هدفش اینه که بتونی بدون راه‌اندازی VM یا نصب ابزار، وضعیت پروایدرهای ETW (سیستم Event Tracing for Windows که ویندوز ازش برای لاگ و تله‌متری استفاده می‌کنه) رو روی نسخه‌های مختلف ویندوز بررسی کنی.

Snapshotها توسط ابزار ETWInspector تولید و به فرمت NDJSON در ریپو ذخیره می‌شن. سایت این فایل‌ها رو مستقیم توی مرورگر پارس می‌کنه — هیچ بک‌اندی وجود نداره و هیچ داده‌ای آپلود نمی‌شه.

دو قابلیت اصلی سایت اینان: حالت Browse که بهت اجازه می‌ده توی یه snapshot خاص بچرخی و پروایدرها، رویدادها، keywordها و فیلدهای template رو جستجو کنی؛ و حالت Diff که می‌تونی دو snapshot از دو بیلد مختلف رو کنار هم بذاری و دقیقاً ببینی چی تغییر کرده — از اضافه یا حذف شدن پروایدر گرفته تا تغییر سطح field توی یه رویداد خاص.

فیلترها چهار بُعد دارن که AND می‌شن: Provider (بر اساس نام، GUID، یا مسیر فایل)، Description (توضیح رویداد)، Keyword (flag‌های bitmask که پروایدر تعریف می‌کنه)، و Template (فیلدهای XML رویداد مثل ProcessId یا TargetUserName). یه toggle هم داره که می‌تونی بین Manifest، MOF، و TraceLogging جابجا بشی.

یه ویژگی کاربردی اینه که می‌تونی snapshot خودت رو آپلود کنی — هم فرمت .ndjson و هم .ndjson.gz پشتیبانی می‌شه و decompress هم توی مرورگر انجام می‌شه. URLها هم state کامل فیلترها رو نگه می‌دارن، یعنی می‌تونی لینک یه دید خاص رو برای همتیمیت بفرستی و اون دقیقاً همون view رو می‌بینه.

هدف بلندمدت پروژه اینه که snapshot‌های آپدیت‌های Patch Tuesday و بیلدهای Insider ویندوز رو به صورت مداوم اضافه کنه تا بشه تغییرات ETW بین نسخه‌ها رو ردیابی کرد — مثلاً فهمید که یه آپدیت امنیتی آروم آروم یه رویداد رو rename کرده که detection موجود رو خراب می‌کنه.

نکات کلیدی:

• مرور و diff گرفتن از پروایدرهای ETW ویندوز بدون نیاز به VM
• پشتیبانی از Manifest، MOF، و TraceLogging (WPP هنوز پشتیبانی نمی‌شه)
• آپلود snapshot شخصی و پردازش کامل در مرورگر بدون ارسال داده به سرور
• فیلترهای چندبُعدی (Provider، Description، Keyword، Template) با قابلیت اشتراک‌گذاری URL
• برنامه افزودن منظم snapshot برای Patch Tuesday و Insider Builds