KellectAgent-Windows 项目使用教程

KellectAgent-Windows 项目使用教程

KellectAgent-Windows windows kernel event log collect 项目地址: https://gitcode.com/gh_mirrors/ke/KellectAgent-Windows

1. 项目目录结构及介绍

KellectAgent-Windows 项目的目录结构如下：

KellectAgent-Windows/
├── include/
├── lib/
├── release/
├── source/
│   └── config/
├── images/
├── CMakeLists.txt
├── LICENSE
├── README.md
├── README.zh-CN.md
└── gitignore

目录介绍

• include: 存放项目的头文件。
• lib: 存放第三方库文件。
• release: 存放可执行文件。
• source: 存放源代码文件，其中 config 子目录存放配置文件。
• images: 存放项目相关的图片文件。
• CMakeLists.txt: CMake 构建文件。
• LICENSE: 项目许可证文件。
• README.md: 项目的英文介绍文档。
• README.zh-CN.md: 项目的中文介绍文档。
• gitignore: Git 忽略文件配置。

2. 项目启动文件介绍

KellectAgent-Windows 项目的启动文件是 release 目录下的可执行文件 kellect.exe。该文件是基于 ETW（Event Tracing for Windows）的多线程 Windows 内核日志收集器，使用 C++ 语言开发，具有高性能和低系统开销。

启动命令示例

kellect.exe -e all -f test.json

• -e all: 收集所有系统日志。
• -f test.json: 将日志输出到 test.json 文件。

3. 项目配置文件介绍

KellectAgent-Windows 项目的主要配置文件位于 source/config 目录下，包括 filter.txt、initImages.txt 和 log.conf。

3.1 filter.txt

filter.txt 文件用于过滤不需要的事件。文件中包含三种标签用于过滤：

• filteredProcessID: 根据 PID 列表过滤事件。
• filteredEventIdentifier: 通过 Event ProviderID 和 opcode 组合过滤事件。
• filteredImageFile: 根据 Image 文件路径过滤 ImageLoad 事件和相应的 CallStacks。

3.2 initImages.txt

initImages.txt 文件存储了一些系统 DLL 文件的路径，KellectAgent 在运行时会预读这些文件以加快后续事件解析的效率。

3.3 log.conf

log.conf 文件用于配置日志输出格式和路径信息。

3.4 uuid

uuid 文件用于设置当前主机的 UUID。如果未指定，KellectAgent 将自动生成一个 UUID 并输出到文件中。

---

通过以上介绍，您可以更好地理解和使用 KellectAgent-Windows 项目。

KellectAgent-Windows windows kernel event log collect 项目地址: https://gitcode.com/gh_mirrors/ke/KellectAgent-Windows