在MS消息分析器中处理名称

似乎需要Windows_Kernel_Trace消息来提供进程名称。 我遇到了同样的问题，即在会话开始前应用了会话filter，包括IP地址filter。 我改变了我的filter：

 !(*Port in [3389, 1494, 1503]) and (IPv4.Address == 10.0.0.123 or Windows_Kernel_Trace) 

进程名现在显示大多数消息。

我把它作为一个中间的答案，直到我得到微软关于这个问题的详细评论（这可能永远不会发生）。

通过反复试验，我发现只有在实时跟踪启动之前指定会话filter时才会发生上述问题。 我使用非常大的基于IP的过滤，如下所示：

 *Port!=3389 and ((IPv4.Address in 2.16.106.48/28 ) or (IPv4.Address in 2.16.106.64/27 ) or (IPv4.Address in 2.16.106.96/28 ) or (IPv4.Address in 2.16.106.112/29 ) or (IPv4.Address in 2.16.106.120/31 ) or (IPv4.Address in 2.16.106.122/32 ) or (IPv4.Address == 2.19.177.129 ) or ... many lines 

但是，如果我在会话启动后 应用会话筛选 ，那么一切正常，进程名称将按预期显示。 我无法正确地解释这种现象，因为过滤与进程名称无关（由内核提供），显然它无关紧要，在应用filter的那一刻无关紧要：在会话开始之后或之前。

再来一个来自微软的好消息