Zo vergroot u de loggrootte voor Event ID 4: Kernel-EventTracing in Windows 11

Deze gids behandelt twee manieren om de logbestandsgrootte te vergroten voor Kernel Event Tracing ID 4. Even samengevat: Event ID 4 van de bron Kernel-EventTracing geeft aan dat een Event Tracing for Windows-sessie (ETW) is gestopt omdat de maximale bestandsgrootte is bereikt. Standaard hebben ETW-sessies een maximale bestandsgrootte van 64 MB en dat kan te weinig zijn voor uitgebreide diagnostiek of gedetailleerde logging.

Andere redenen om de loggrootte voor Event ID 4 te vergroten zijn:

• Voorkomen dat ETW-sessies voortijdig worden beëindigd
• Meer zicht krijgen op zeldzame of weinig voorkomende kernel-events
• Continue monitoring mogelijk maken in productie- of testomgevingen
• Problemen oplossen waarbij tracebuffers te snel vollopen

Liever video? Bekijk onze visuele gids: Zo vergroot u de loggrootte voor Event ID 4: Kernel-EventTracing in Windows 11.

📌 Aanbevolen implementatiestrategieën:

Klik om een methode te kiezen	💻 Het beste voor individuele gebruikers	💻💻💻 Het beste voor ondernemingen
Methode 1: via Prestatiemeter	✓
Methode 2: via PowerShell	✓	✓

ETW-loggrootte vergroten: twee methoden

Methode 1: via Prestatiemeter

📌 Toepassingen: deze methode is het meest geschikt voor individuele gebruikers of IT-professionals die losstaande systemen beheren. Ze is ook ideaal wanneer u direct toegang hebt tot een grafische interface of wanneer scripting niet nodig is (of niet is toegestaan).

📌 Vereisten:

• Deze methode werkt in alle edities van Windows 11.
• U moet beheerdersrechten hebben.
• De betreffende sessies moeten zichtbaar zijn onder Logboeken > Logboeken voor toepassingen en services > Microsoft > Windows > Kernel-EventTracing.
• U moet weten welke ETW-sessie de fout Event ID 4 heeft veroorzaakt (bijvoorbeeld Circular Kernel Context Logger).

Stappen:

1. Druk op Win + R, typ perfmon en druk op Enter.

💡 Tip: gebruik niet perfmon /report, want dat toont alleen systeemdiagnostiek. U hebt het volledige overzicht nodig.

2. Zoek in het linkerdeelvenster naar de boomstructuur onder de naam van uw computer. Vouw Gegevensverzamelaarsets uit en vervolgens Gebeurtenistraceringssessies. U ziet dan een lijst met actieve en vooraf gedefinieerde ETW-sessies.

⚠️ Belangrijk: op een device dat door uw bedrijf wordt beheerd hebt u mogelijk beperkte toegang tot dit menu. In dat geval ziet u alleen “Bewakingsprogramma’s” en niet “Gegevensverzamelaarsets”. Gebruik dan methode 2 zoals hieronder beschreven.

3. Zoek de sessie die in uw Event ID 4-logboek wordt genoemd en klik er met de rechtermuisknop op. Meestal heet die Circular Kernel Context Logger, maar dat kan verschillen per systeem of diagnosetool.
4. Klik met de rechtermuisknop op de gewenste sessie en selecteer Eigenschappen om de instelbare parameters te openen.
5. Ga naar het tabblad Stopvoorwaarde. Verhoog daar de Maximale grootte (MB) van de standaardwaarde (meestal 64 MB) naar een hogere waarde, bijvoorbeeld 256 MB of meer. Zo worden langere traces niet voortijdig afgekapt.
6. Klik op Toepassen en daarna op OK.
7. Klik tot slot opnieuw met de rechtermuisknop op de sessie en kies Opnieuw starten. Is die optie niet beschikbaar, voer dan een reboot uit om de nieuwe instelling te activeren.

Methode 2: via PowerShell

📌 Toepassingen: dit is een goed alternatief als methode 1 niet beschikbaar is omdat u op een door het bedrijf beheerd systeem werkt. Deze methode is ook ideaal voor MSP’s die op afstand meerdere systemen beheren of voor wie de voorkeur geeft aan geautomatiseerde workflows.

📌 Vereisten:

• U moet PowerShell-toegang op beheerdersniveau hebben.
• De betreffende sessies moeten zichtbaar zijn onder Logboeken > Logboeken voor toepassingen en services > Microsoft > Windows > Kernel-EventTracing.
• U moet weten welke ETW-sessie de fout Event ID 4 heeft veroorzaakt (bijvoorbeeld Circular Kernel Context Logger).
• Het commando logman moet beschikbaar zijn (standaard meegeleverd met Windows).

💡 Tip: uw kennis opfrissen? Schrijf u in voor de gratis spoedcursus PowerShell for IT Ninjas.

Stappen:

1. Start PowerShell als administrator. Klik daarvoor met de rechtermuisknop op het menu Start en kies Windows Terminal (Administrator) of PowerShell (Administrator).
2. (Optioneel, maar aanbevolen) Controleer uw toegang tot logman met dit commando:

logman query

Krijgt u een lijst met sessies terug, dan hebt u voldoende rechten. Levert het commando een foutmelding op, dan is uw systeem mogelijk verder vergrendeld via beleidsregels.

3. Wijs uw sessienaam toe aan een variabele:

$sessionName = "Circular Kernel Context Logger"

4. Gebruik het volgende commando om de buffer te vergroten naar 256 MB. Pas de waarde naar behoefte aan.

logman update $sessionName -f bincirc -max 256

5. Pas de wijziging toe door de sessie te stoppen en opnieuw te starten:

logman stop $sessionName && logman start $sessionName

💡 Let op: vervang sessionName door de juiste sessienaam die u eerder hebt gevonden (Logboeken > Logboeken voor toepassingen en services > Microsoft > Windows > Kernel-EventTracing).

Zo controleert u of de nieuwe ETW-logbestandsgrootte actief is

Methode 1: controleren via Prestatiemeter (indien beschikbaar)

1. Druk op Win + R, typ perfmon en druk op Enter.
2. Vouw in het linkerdeelvenster Gegevensverzamelaarsets > Gebeurtenistraceringssessies uit
3. Klik met de rechtermuisknop op de sessie die u hebt gewijzigd (bijvoorbeeld Circular Kernel Context Logger) en selecteer Eigenschappen.
4. Controleer op het tabblad Stopvoorwaarde of de waarde bij Maximale grootte (MB) overeenkomt met de grootte die u zojuist hebt ingesteld, bijvoorbeeld 256.

💡 Let op: is deze grafische optie niet beschikbaar door toegangsbeperkingen (gebruikelijk op devices die door het bedrijf worden beheerd), controleer het dan via PowerShell.

Methode 2: controleren via PowerShell (met logman)

1. Open PowerShell als administrator
2. Voer het volgende commando uit:

logman query "Circular Kernel Context Logger"

💡 Let op: vervang “Circular Kernel Context Logger” door de sessie die u eerder hebt gewijzigd.

3. Zoek naar een regel die er ongeveer zo uitziet:

Maximum Size: 256 MB

💡 Let op: dit geldt alleen als u de maximale limiet op 256 MB hebt gezet. Zoek naar de waarde die overeenkomt met de waarde die u in de bovenstaande methoden hebt gebruikt.

Ziet u de verwachte waarde niet, voer dan het commando logman update opnieuw uit zoals beschreven in methode 2, stap 2 en start de sessie opnieuw om de wijzigingen door te voeren.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Terugdraaien
Te grote logbestanden (bijvoorbeeld >1 GB)	Kunnen snel schijfruimte opslokken, vooral op systemen met weinig opslag.	Verlaag de grootte met logman update <SessionName> -max <SmallerSize> of via het tabblad Stopvoorwaarde in Prestatiemeter. Controleer het schijfgebruik regelmatig.
Sessie niet opnieuw gestart na de wijziging	De nieuwe instellingen worden pas actief nadat de sessie opnieuw is gestart. De logging gaat door met de oude buffergrootte.	Voer logman stop en logman start uit of voer een reboot uit. Controleer het altijd met logman query.
De verkeerde sessie wijzigen	Het aanpassen van een niet-gerelateerde ETW-sessie kan tools van leveranciers, diagnostiek of baselinelogboeken voor prestaties verstoren.	Controleer de sessienamen zorgvuldig. Gebruik logman query om de beschikbare sessies op te sommen. Twijfelt u, draai de instellingen dan terug via dezelfde methode met de oorspronkelijke waarde.
Onvoldoende rechten	Wijzigingen in de loggrootte mislukken zonder melding, vooral in beheerde omgevingen met GPO- of RMM-beperkingen.	Zorg dat u PowerShell als administrator uitvoert. Bent u beperkt, stem het dan af met uw bedrijfs-IT-team of gebruik goedgekeurde RMM-implementatiesjablonen.
Conflicten met andere loggingtools	Tools zoals Windows Performance Recorder of diagnostiek van specifieke leveranciers kunnen overlappende sessies aanmaken of groottelimieten overschrijven.	Pauzeer of schakel andere tracesessies tijdelijk uit terwijl u wijzigingen doorvoert. Herstel daarna zo nodig de oorspronkelijke instellingen.
Event tracing uitgeschakeld via beleid	Er worden geen wijzigingen actief als ETW zelf is uitgeschakeld of de service Prestatielogboeken en waarschuwingen is gestopt.	Controleer of de service pla actief is: Get-Service pla. Zo niet, vraag dan toestemming of schakel uw beveiligings- of endpointbeheerder in.

Extra aandachtspunten bij het vergroten van de loggrootte voor Event ID 4

• Deze methode werkt voor standaard systeemsessies en voor tracesessies van specifieke leveranciers.
• Grotere buffers nemen meer schijfruimte in beslag. Zorg dat u voldoende ruimte hebt voordat u de maximale loggrootte aanpast.
• Een grotere loggrootte kan terugkerende Event ID 4-fouten in het systeemlogboek voorkomen.

Samenvatting: Kernel Event Tracing ID 4 vergroten

Het vergroten van de ETW-logbestandsgrootte voor Kernel-EventTracing-sessies is essentieel om te voorkomen dat logboeken voortijdig worden afgekapt en om volledige diagnostische gegevens vast te leggen in Windows 11. Daarvoor zijn twee methoden beschikbaar.

Gerelateerde onderwerpen:

• Wat is een kernel? Overzicht & definitie
• Windows-gebeurtenislogboeken lezen: afsluiten en opnieuw opstarten
• Monitoring en alarmering van servers