Process Monitor (ProcMon) pentru monitorizarea modificărilor aduse fișierelor și registrului
Instrumentul Process Monitor (ProcMon) este utilizat pentru a monitoriza activitatea diverselor procese din sistemul de operare Windows. Acest utilitar vă permite să vizualizați în timp real modul în care procesele accesează fișierele de pe disc, cheile de registru, activitatea de rețea etc.
Ce poți face cu ProcMon?
Urmăriți evenimentele de pornire și oprire ale proceselor și firelor de execuție, inclusiv informații despre codul de ieșire (utilitarul capturează evenimentul Process Exit, care furnizează starea de ieșire);
Colectați date despre parametrii operațiunilor de intrare și ieșire. Este important de reținut că acest instrument nu numai că afișează acești parametri, ci și rezultatul (de exemplu, SUCCESS, NAME NOT FOUND, ACCESS DENIED);
Setați filtre pentru a afișa numai informațiile necesare. De exemplu, despre acțiunile unui proces specific, accesul la un anumit fișier sau la o cheie de registru;
Înregistrați toate operațiunile din timpul pornirii sistemului (procesele de pornire, serviciile, încărcarea driverelor). Acest lucru este util pentru diagnosticarea pornirii lente a Windows.
Instalare ProcMon
ProcMon nu este un utilitar de sistem integrat, așa că trebuie să îl descărcați manual de pe site-ul Microsoft. Process Monitor nu necesită instalare. Dezarhivați fișierul și rulați fișierul executabil procmon.exe (procmon64.exe sau Procmon64a.exe pentru arhitectura ARM64) ca administrator.
Când porniți Process Monitor pentru prima dată, pe ecran apare un acord de licență (EULA) care necesită confirmarea utilizatorului (totuși, atunci când automatizați sau creați scripturi, utilizatorii pot ocoli fereastra EULA folosind comanda /AcceptEula).
La pornire, ProcMon instalează un driver de sistem special, PROCMON24.SYS. Acesta interceptează apelurile către funcțiile de sistem legate de operațiunile sistemului de fișiere, accesul la registru, ciclul de viață al proceselor și al firelor de execuție, precum și conectivitatea la rețea (TCP/UDP).
Instalare ProcMon folosind winget
1. Deschideți PowerShell sau Command Prompt ca administrator.
2. Executați următoarea comandă:
winget install Microsoft.Sysinternals.ProcessMonitor
3. Odată ce procesul se finalizează, puteți lansa instrumentul tastând „procmon” în terminal sau accesând meniul Start.
[mai mult...]