EtwTiViewer

EtwTiViewer 是一个用于实时捕获和分析 Windows 内核 ETW-TI（Microsoft-Windows-Threat-Intelligence）事件的研究型工具。它通过内核调试器临时修改进程保护级别，绕过微软对安全遥测数据的访问限制，从而可视化展示内存分配、远程线程操作、APC注入、虚拟内存保护变更等底层攻击信号。项目基于 C++ 实现，依赖 WinDbg 调试会话进行运行时 patch，仅适用于隔离虚拟机中的安全研究与 EDR 检测原理教学。不适用于生产环境或自动化防御场景。