Գործընթացի մոնիտոր ռուսերեն տարբերակ. Գործընթացի մոնիտոր կամ ինչպես անել, որ ծրագրակազմն աշխատի օգտագործողի տակ: Ծրագրի դրական և բացասական կողմերը

Ծրագիր՝ օգտատերերի գործողություններին հետևելու այլ համակարգիչների վրա, որոնք գտնվում են այնտեղ տեղական ցանց. Հավելվածը հաճախ օգտագործվում է աշխատակիցներին վերահսկելու համար:

Ինչ դուք պետք է իմանաք Activity Monitor-ի մասին

Սա հզոր գործիքհեռակառավարման համար: Հավելվածը թույլ է տալիս իրական ժամանակում վերահսկել հեռավոր համակարգիչների վրա տեղակայված օգտատերերի ակտիվությունը: Դիտեք այցելած կայքերը, ստուգեք ցանկը գործարկվող ծրագրերև վերահսկել նկարը էկրանի վրա, և միևնույն ժամանակ կարող եք վերահսկել մի քանի ԱՀ միաժամանակ: Օգտագործելով այս օգտակար ծրագիրը, դուք կարող եք կարդալ նամակագրությունը էլև տեղադրել մեսենջերներ: Դիտարկումն իրականացվում է ք թաքնված ռեժիմ, կա ստեղնաշարի կոճակները գրանցելու ֆունկցիա։

Ամբողջ ամփոփ տեղեկատվությունը փոխանցվում է ադմինիստրատորի մեքենային գաղտնագրված արձանագրության միջոցով և ապահով կերպով պահվում է մեկ տվյալների բազայում: Ցանկության դեպքում կարող եք դիտել անցանց հաշվետվությունները:

Տեղադրման ընթացքում դուք պետք է ընտրեք տեղադրվող հավելվածի տարբերակը. սերվերի տարբերակը տեղադրված է ադմինիստրատորի մեքենայի վրա, հաճախորդի տարբերակը տեղադրված է վերջնական օգտագործողի համակարգչում:

Ծրագիրը ուղղված է առևտրային հաճախորդներին և հաճախ օգտագործվում է որպես լրացուցիչ գործիքաշխատողների հեռակա մոնիտորինգի կամ արտահոսքի որոնման ժամանակ գաղտնի տեղեկատվություն. Դուք կարող եք փորձել Activity Monitor-ի հնարավորությունները մեկ շաբաթով, գինը ամբողջական տարբերակըսկսվում է $190-ից (լիցենզիա երեք ԱՀ-ի համար):

Հակիրճ և հստակ.

• հեռավոր համակարգչի առցանց մոնիտորինգ;
• ինտեգրված keylogger;
• պլանավորված հսկողություն;
• սքրինշոթներ նկարելը;
• հաղորդակցություն ապահով արձանագրության միջոցով:

Բավականին շատ նյութեր արդեն տրվել են Process Monitor ծրագրի վերաբերյալ, և կոմունալ ծառայության գործունեության հիմունքները սովորելը միշտ հասանելի է եղել նույնիսկ չվարժված օգտատիրոջ համար: Բայց, այնուամենայնիվ, ես անձամբ այնքան էլ չհասկացա աշխատանքի շատ ասպեկտներ (և դեռ որոշ բաներ չեմ հասկանում :), ուստի որոշեցի ևս մեկ գրառում գրել այս մասին: օգտակար օգտակարություն, որպեսզի հետագայում հոդվածն օգտագործել որպես յուրօրինակ հուշում։ Եթե ​​դիտարկենք ցանկացած օպերացիոն համակարգ ընդհանրացման տեսանկյունից, ապա մենք կարող ենք պայմանականորեն տարբերակել այն կոդի/տվյալների բլոկների, որոնք փոխազդում են միմյանց հետ՝ հիմնվելով որոշակի օրինաչափությունների վրա։ Մեզ ծանոթ տերմիններին մոտենալու համար նշված բլոկը կդիտարկենք թե՛ կոդը, թե՛ տվյալներ համակցող գործընթաց՝ նախատեսված կոնկրետ խնդիր լուծելու համար։ Այսպիսով, նման գործընթացների փոխազդեցությունը կազմում է (որոշ բացառություններով) օպերացիոն համակարգի գործունեության հայեցակարգը: Մինչ օպերացիոն համակարգը աշխատում է, դրանում մեծ թվով գործընթացներ են աշխատում, և այս գործընթացներից որևէ մեկի նպատակը կարող է տարբեր լինել բավականին լայն շրջանակում:

Օպերացիոն համակարգի յուրաքանչյուր գործընթաց, իր սեփական գործողությունների ամբողջության և դրանց կատարման արդյունքների հիման վրա, իրականում որոշում է համակարգի գործունեության մատնահետքը այս կամ այն ​​ժամանակ: Բայց, ինչպես գիտենք տեսությունից, գործընթացներն իրենք ուղղակի կոնտեյներներ են թելերի (թելերի) համար, որոնք ուղղակիորեն կատարում են ամբողջ հաշվողական աշխատանքը: Հասկանալի է, որ թելերը կոդ են, մեքենայական հրահանգների մի շարք, որոնք կատարվում են պրոցեսորի կողմից, բայց սա ընկալման բավականին ցածր մակարդակի վրա է: Եթե ​​դուք վիրահատեք Պատուհանների կառուցվածքներ, այնուհետև թելերը դեռ պարունակում են մեքենայի կոդ, բայց օպերացիոն համակարգի ողջ ֆունկցիոնալությունը հասանելի է համակարգի տարբեր գրադարանների գործառույթներին և վարորդներին կանչելու միջոցով, հետևաբար շղթաները, բացի պարզ թվաբանական և տրամաբանական գործողություններից, փոխազդում են Windows-ի տարբեր ենթահամակարգերի հետ. վիրտուալ հիշողություն, ֆայլային համակարգ, ռեեստր, ապարատային բաղադրիչներ և շատ ուրիշներ: Միջգործընթացային հաղորդակցությունն այնքան ինտենսիվ է, որ ցանկացած պահի համակարգում կատարվում են հազարավոր նման գործողություններ: Համապատասխանաբար, Windows-ի իրողություններում մեզ համար հետաքրքիր կլիներ դիտարկել գործընթացների փոխազդեցությունը օպերացիոն համակարգի որոշ բաղադրիչների հետ գործառույթների մակարդակում և դրանց կատարման արդյունքները, քանի որ գործունեության այս մակարդակը բավականին բավարար է լուծելու մեծ մասը: խնդիրներ. Նման տեղեկատվությունը մեզ համար չափազանց օգտակար կլինի ինչպես ալգորիթմների ուսումնասիրության զուտ հետազոտական ​​հետաքրքրության, այնպես էլ աշխատանքի ընթացքում առաջացող որոշակի խնդիրների լուծումներ գտնելու տեսանկյունից: Բայց մեզ անհրաժեշտ կլինի այնպիսի գործիք, որը կարող է նման մանրամասն տեղեկատվություն տրամադրել, քանի որ մենք պետք է սուզվենք միջգործընթացային հաղորդակցության մեջ շատ ավելի խորը, քան ներկառուցված գործիքների մակարդակը, հասկանալու համար, թե կոնկրետ ինչ են անում գործընթացները: Նման մի բան մեզ տրամադրում է գործիքը, որը կոչվում է Գործընթացի մոնիտոր, որը պատկանում է ընդլայնված ֆունկցիոնալությամբ գործիքների դասին, կլինի մեր այսօրվա հոդվածի թեման։
Գործընթացի մոնիտոր- օպերացիոն համակարգում գործընթացի գործունեության մոնիտորինգի ծրագիր, որը շահագործման գրանցման ռեժիմում թույլ է տալիս վերահսկել գործընթացների գործունեությունը այնպիսի ՕՀ ենթահամակարգերի հետ կապված, ինչպիսիք են ֆայլային համակարգը, ռեեստրը և ցանցը: Թույլ է տալիս գնահատել պրոցեսորի ժամանակի քանակությունը, որը ծախսվել է պրոցեսների ընթացքում թելերի կատարման վրա:
Process Monitor-ը իրական ժամանակի մոնիտորինգ է տրամադրում իրադարձությունների հետևյալ դասերի համար.

• Ֆայլային համակարգ՝ ստեղծում (բացում)/փակում/ընթերցում/գրում/ջնջում ֆայլային համակարգի տարրերը՝ ֆայլեր, գրացուցակներ, ատրիբուտներ, բովանդակություն:
• Ռեեստր. ռեեստրի տարրերի ստեղծում/ընթերցում/գրում/թվարկում/ջնջում՝ ճյուղեր, բանալիներ, արժեքներ:
• Ցանց՝ կապի հաստատում, տվյալների փոխանցում, կապի փակում: Տեղեկատվություն TCP/UDP տրաֆիկի աղբյուրի/ստացողի մասին: Ընդհանուր տեղեկություններ արձանագրությունների և փաթեթների մասին: Փոխանցված տվյալները ինքնին չեն գրանցվում:
• Գործընթաց/թեմա. Ստեղծեք գործընթաց, ստեղծեք թել պրոցեսի մեջ, վերջացրեք թեմա/գործընթացը: մանրամասն տեղեկություններգործընթացի մասին (ուղի, հրամանի տող, օգտագործողի/սեսիայի ID), գործարկման/դադարեցման, պատկերների բեռնման (գրադարաններ/դրայվերներ), կատարման կույտ:
• Պրոֆիլավորում. իրադարձությունների հատուկ դաս, որը գրանցվում է յուրաքանչյուր գործընթացի կողմից ծախսված պրոցեսորի ժամանակի չափը հետևելու նպատակով: Գործընթացի հիշողության օգտագործումը:

Process Monitor-ի օգտագործման հիմնական, ամենայն հավանականությամբ սցենարները անմիջապես մտքում են գալիս.

• Ռեեստրի ո՞ր բանալիներում է այս կամ այն ​​ծրագիրը պահում իր կարգավորումները։
• Ի՞նչ գործողություններ է կատարում գործընթացը գործարկման, շահագործման ընթացքում և փակման փուլում:
• Ո՞ւմ են պատկանում այս կամ այն ​​ֆայլերը: Որքա՞ն հաճախ է սեփականատերը կապվում նրանց հետ:
• Ո՞ր գործընթացն է մուտք գործում ցանցի արտաքին հանգույցներ:
• Ո՞ր գործընթացն է դանդաղեցնում օպերացիոն համակարգի բեռնումը:

Process Monitor-ը թույլ է տալիս ստանալ այն հարցի պատասխանը, թե ինչ գործողություններ է կատարվում համակարգում որոշակի գործընթացի կողմից:

Բայց, ի տարբերություն այնպիսի գործիքների, ինչպիսին է Process Exploer-ը, սա իրական ժամանակի օգտակար ծրագիր չէ, որը թույլ է տալիս փոխազդել ընթացքի մեջ գտնվող գործընթացների հետ, փակել բռնակները, սպանել գործընթացները և կատարել այլ նմանատիպ գործողություններ. այն ավելի շուտ գլոբալ գրանցամատյան է՝ բաղկացած իրադարձություններից օպերացիոն համակարգը։ Նախորդ նախադասության հիմնական բառը «մանրամասն» էր, քանի որ դա նշանակում է ոչ թե այն իրադարձությունները, որոնք մենք սովոր ենք տեսնել, օրինակ, Իրադարձությունների մատյանում, այլ ավելի ցածր մակարդակի, որոնք տեղի են ունենում որոշ API գործառույթների որոշակի հավաքածուի վրա: OS բաղադրիչներ. Սրանք, ինչպես նաև որոշ այլ եզակի ֆունկցիոնալ առանձնահատկություններ, Process Monitor ծրագիրը դարձնում են գրեթե անփոխարինելի գործիք անսարքությունների վերացման և համակարգում կասկածելի գործունեության պատճառները բացահայտելու համար:
Բայց մի շտապեք հմայվել, որովհետև յուրաքանչյուր տակառ մեղրի համար քսուքի մեջ միշտ իր ճանճն է: Այսպիսով, Process Monitor-ի դեպքում կան որոշ «նյուանսներ»: Պետք չէ Process Monitor-ը դիտարկել որպես կախարդական փայտիկ բոլոր առիթների համար, քանի որ այն ամեն ինչ չի «տեսնում»: Օրինակ, այն չի հետևի մկնիկի ցուցիչի շարժմանը, պատուհանները քաշելուն, չի ցուցադրի ցանցային տրաֆիկի փաթեթների բովանդակությունը, չի ցուցադրի ծրագրի կողմից կանչված գործառույթների ամբողջ բազմազանությունը, և դա հեռու է ամբողջական ցանկըայն բաները, որոնք Process Monitor-ը չի կարող անել: Ինչպես օպերացիոն համակարգի խնդիրների ախտորոշման ցանկացած դեպքում, նման գործիքները, կոպիտ ասած, ապահովում են գործառույթների և հոսքային գործողությունների սահմանափակ շարք՝ գործունեության համար տեղ թողնելով և մասնագետից պահանջելով ինքնուրույն եզրակացություններ և երբեմն բավականին խորը գիտելիքներ, որոնք հիմք են հանդիսանում ցանկացածի: վերլուծություն. Չեմ ենթադրում ասել, որ բացարձակապես բոլորն են ախտորոշել օգտագործելով գործընթացըՄոնիտորինգի խնդիրները պահանջում են բարձր մակարդակՕՀ-ի ճարտարապետության իմացություն, բայց դա այնքան էլ հազվադեպ երեւույթ չէ: Օրինակ -ից վայրի բնությունԵս մի անգամ հանդիպեցի Outlook 2010-ի հետ կապված սխալի, երբ outlook.exe ծրագրի հատկություններում տեղադրվեցին համատեղելիության ընտրանքներ, ինչը թույլ չտվեց ծրագրի մեկնարկի սխալով «Անհնար է բացել լռելյայն փոստի թղթապանակները: Հաղորդագրությունների բանկը չի կարող: բացվի»։ Հետևել այս խնդիրըԴուք կարող եք օգտագործել Process Monitor կոմունալ ծրագիրը, բայց դուք պետք է իմանաք, թե կոնկրետ ինչ փնտրել Outlook գործընթացի հաղորդագրությունների հսկայական փաթեթում: Այդ դեպքում AppCompatFlags ստեղնը կարդալիս պետք է փնտրեինք WINSRV08SP1 և RUNASADMIN դրոշները, ինչն ինքնին հուշում է, որ երբեմն պետք է պատկերացնել, թե ինչ ենք ուզում գտնել։ Իդեալում (իսկ իդեալն անհասանելի է), լավ կլիներ պատկերացնել, թե ինչպես է փոխվում համատեղելիության ռեժիմում բեռնված ծրագրի պրոֆիլը ստեղծված իրադարձությունների մակարդակում՝ տիպիկ հավելվածի բեռի համեմատ: Ի վերջո, պետք էր հասկանալ, թե ինչու հենց այդպես փոստի հաճախորդՉհաջողվեց բեռնել օգտվողի կոնֆիգուրացիան: Իհարկե, երևի թե կոնկրետ այս օրինակն այնքան էլ ցուցիչ չէ, քանի որ այն բավականին բարդ է, և ավելի խելամիտ կլինի օգտագործել այլ միջոցներ, պարզապես ուզում եմ ձեր ուշադրությունը հրավիրել այն փաստի վրա, որ Process Monitor-ը կարգաբերիչ չէ և չի կարող. բռնել այն վայրը, որտեղ սխալմամբ կանչվել է պատուհանի ցուցադրման գործառույթը, չի կարողանա ներթափանցել այս կամ այն ​​ներքին ֆունկցիայի գործողության տրամաբանությունը, չի ցուցադրի ռեգիստրների, հիշողության տարածքների և գործընթացի համար կարևոր այլ կառույցների վիճակը: Երբեմն տեսանելի արդյունք չկա մուտքի բացակայության վերաբերյալ, ուստի երբեմն հավաքագրված տեղեկատվությունը անուղղակիորեն պարունակում է խնդրի նկարագրություն, և դուք պետք է ավելի շատ մտածեք Process Monitor-ի կողմից ստացված արդյունքների մասին: Երբեմն, կան դեպքեր, երբ ֆունկցիոնալ Գործընթացի հնարավորությունները«Մոնիտոր»-ը պարզապես բավարար չէ խնդրի խորքը հասկանալու համար, բայց դա ոչ մի կերպ չի պահանջում արժանիքները. այս գործիքի, քանի որ շատ դեպքերում դա թույլ է տալիս բավականին արագ հասնել սխալի պատճառին։ Դե, դուք անմիջապես չեք դիմի վրիպազերծողին յուրաքանչյուր սխալի համար և ժամեր չեք ծախսի թռչելով՝ փորձելով ուսումնասիրել անսարք մոդուլի ալգորիթմը: .. Չնայած նրան:)
Process Monitor օգտակար ծրագիրը ներառում է ավելի վաղ Sysinternals ծրագրերի հնարավորությունները՝ Regmon ռեեստրի մոնիտորինգի ծրագիրը և Filemon ֆայլային համակարգի մոնիտորինգի ծրագիրը, որոնք վաղուց անհետացել են դեպքի վայրից: Բացի այդ, Process Monitor-ը կարող է ամբողջ իրադարձությունների գրանցամատյանը պահել մինչև 1 գիգաբայթ կշռող ֆայլում:

Ինչպես է դա աշխատում

Process Monitor-ի գործունեությունը վերահսկելիս բացահայտվեց մի հետաքրքիր առանձնահատկություն. պարզվում է, որ ծրագիրն օգտագործում է իր միջուկի ռեժիմի դրայվերը (բա ստորագրությունը, բայց ստորագրությունը Symantec-ից է)։ 32-բիթանոց համակարգում Process Monitor-ը օգտագործում է 32-բիթանոց ֆիլտրի դրայվեր, որը կոչվում է procmon23.sys ինչպես ուղղակի գործարկվող պատկերի կատարման ժամանակ, այնպես էլ օպերացիոն համակարգի բեռնման փուլում (երբ միացված է Enable Boot Logging տարբերակը): Բայց բացի գործարկվող պատկերից՝ procmon.exe-ից, հավելվածի աշխատանքային գրացուցակում այլ երկուական ֆայլեր չկա՞ն: Փաստն այն է, որ վարորդը փաթեթավորված է հիմնական գործարկվող մոդուլի մարմնում procmon.exe: Օգտագործելով PE ֆայլի ռեսուրսների հետ աշխատելու ցանկացած գործիք, կարող եք համոզվել, որ procmon23.sys դրայվերը պարունակվում է գործարկվող ֆայլի ներսում ռեսուրսների բաժնի BINRES գրացուցակի RCDRIVERNT ռեսուրսում, այսինքն, այն հիմնական ֆայլի մի մասն է.

64-բիթանոց համակարգում Process Monitor-ը գործարկվելիս բացում է %TEMP%-ը ժամանակավոր գրացուցակի մեջ: թաքնված ֆայլ Procmon64.exe անունով: Procmon64.exe պատկերը պարունակվում է BINRES գրացուցակի 1308 ռեսուրսում՝ հիմնական procmon.exe ֆայլի ռեսուրսների բաժնում: Բայց հենց Procmon64.exe-ում ռեսուրսների բաժնի BINRES բաժինը պարունակում է 64-բիթանոց դրայվեր, որն օգտագործվում է շահագործման ընթացքում:

Procmon23.sys դրայվերը կարող է նաև աշխատել որպես բեռնման ռեժիմի վարորդ: Երբ օգտվողն ակտիվացնում է Enable Boot Logging տարբերակը, Process Monitor-ը պատճենում է վարորդը %SystemRoot%\System32\Drivers թղթապանակում և գրում այն ​​ռեեստրի բանալիում: HKLM\SYSTEM\CurrentControlSet\Services Start պարամետրի արժեքով = 0, որը ցույց է տալիս, որ վարորդը բեռնվելու է Winload.exe-ի կատարման փուլում, երբ գործարկվի օպերացիոն համակարգը:

Թվում է, որ բոլոր իրադարձությունները, որոնք վերահսկվում են Process Monitor-ի կողմից, անցնում են այս ֆիլտրի դրայվերով: Բացի սրանից, Process Monitor-ը օգտագործում է տեխնոլոգիա Իրադարձությունների հետքեր(ETW, իրադարձությունների հետագծում Windows-ի համար), գոնե իրադարձությունների մոնիտորինգի համար ցանցային գործունեություն. Դեռևս լիովին պարզ չէ, արդյոք նույն դրայվերն օգտագործվում է որպես ETW-ի վերահսկիչ և ընդունիչ, թե՞ հենց գործարկվող մոդուլը: Հիշեցնեմ, որ ETW-ն Windows համակարգում ներկառուցված ընդարձակվող գրանցման համակարգ է, որն իրականացվում է միջուկի մակարդակում և թույլ է տալիս (ըստ ցանկության) իրադարձություններ հավաքել օգտվողի ռեժիմի հավելվածներից և միջուկի ռեժիմի մոդուլներից: Եվ ինչպես գիտենք, օպերացիոն համակարգի գրեթե բոլոր բաղադրիչները ներառում են ընթացիկ գործողություններին հետևելու հնարավորություն: Ակնհայտ է, որ ETW ֆունկցիոնալությունը շատ ավելի լայն է, այն տրամադրում է լայնածավալ տեղեկատվություն շահագործման վերաբերյալ՝ համատեքստի փոխարկում, ընդհատումների վիճակագրություն, հետաձգված ընթացակարգի զանգեր (DPC), ընդհատումների սպասարկման ռեժիմներ (ISR), գործընթացների և շղթաների ստեղծում և ոչնչացում, սկավառակի մուտք/ելք: , սխալների էջեր, պրոցեսորի անցում p-state ռեժիմների միջև, ռեեստրի գործառնություններ և շատ ավելին:

Ինտերֆեյս

Նախքան սկսելը, լավ կլինի ձեռք բերել կոմունալ ծրագրի գործարկվող մոդուլը: Գործընթացի մոնիտորը կարող եք ներբեռնել այստեղից: Կոմունալը բաշխվում է որպես շարժական հավելված և չի պահանջում տեղադրում, բայց կարող է պարզապես հանվել արխիվային ֆայլից կամայական գրացուցակի մեջ, ինչը չափազանց օգտակար է շարժական լրատվամիջոցներից ախտորոշելիս և նախատեղադրման միջավայրում (WinPE) ինտեգրվելիս:

Քանի որ Process Monitor-ն օգտագործում է իր սեփական դրայվերը, այն գործարկելու համար պահանջում է տեղական ադմինիստրատորի իրավունքներ:

Եթե ​​Process Monitor-ը գործարկվում է նախորդ աշխատանքային նիստերում տեղադրված զտիչներով, ծրագիրը բացում է ֆիլտրի կարգավորումների պատուհանը (Filter): Դա արվում է, որպեսզի օգտագործողը ցանկության դեպքում կարողանա փոփոխել զտիչները՝ նախքան տվյալների հավաքագրման ընթացակարգը սկսելը:
Process Monitor ինտերֆեյսը չափազանց պարզ է և լռելյայն նման է հետևյալին.

Համաձայնեք, ամեն ինչ հնարամիտ է իսկապես պարզ: Ինտերֆեյսի պարզությունը ստիպում է ինտուիտիվ ընկալել, թե ինչ է կատարվում համակարգում: Process Monitor-ը գործարկելուց անմիջապես հետո այն անմիջապես սկսում է ֆիքսել օպերացիոն համակարգում տեղի ունեցող իրադարձությունները՝ վերահսկելով հիմնական բաղադրիչները, ինչպիսիք են՝ ֆայլային համակարգը, ռեեստրը, ցանցը, գործընթացի/թելերի գործունեությունը: Նկարահանումից հետո իրադարձությունները, որոնք չեն ընկնում ֆիլտրի տակ, ցուցադրվում են ժամանակագրական կարգով հիմնական հավելվածի պատուհանում: Ավելին, օգտատերը դիտում է այնպիսի հսկայական քանակությամբ տվյալներ, որոնք սկզբում հեշտությամբ կարող են հուսալքվել. այս ամբողջ տոննա տվյալներն ակնթարթորեն լցնում են ծրագրի հիմնական պատուհանը և դուրս են գալիս դրա սահմաններից, ինչի մասին պերճախոսորեն վկայում է արագորեն նվազող կողային ոլորման սահիչը: Այս կերպ յուրաքանչյուր տող ելք ներկայացնում է համակարգում տեղի ունեցած իրադարձություն, տեսանելի և ֆիքսված Process Monitor դրայվերի կողմից և ենթակա չէր զտման կանոնների: Տեղեկատվության հիմնական մասը ձևակերպված է աղյուսակի տեսքով, համապատասխանաբար, յուրաքանչյուր տող բաժանված է մի շարք սյունակների, որոնց կազմը և դասավորությունը կարող են փոփոխվել ծրագրի կարգավորումների միջոցով: Լռելյայն կոնֆիգուրացիան օգտագործում է հետևյալ սյունակները.

Գործողության արդյունքի դաշտը (Արդյունք) առանցքայիններից մեկն է և լրացուցիչ բացատրություն է պահանջում.

* - Ես փորձեցի գույն օգտագործել՝ նշելու այն արդյունքները, որոնք կարող են նշանակալից լինել խնդիրներ գտնելու համար, բայց ամեն ինչ միանգամայն կամայական է, և որոշ արդյունքների առկայությունը կարող է սխալի մասին չմատնանշել. ամեն ինչ պետք է դիտարկել տեղի ունեցողի և շրջակա միջավայրի համատեքստում իրադարձություններ.
Իրադարձությունների ցանկի վերջում ավելացվում են նոր գրանցված իրադարձությունները ժամանակագրական կարգով, և, համապատասխանաբար, եթե իրադարձությունները շատ են, դրանք անմիջապես դուրս են գալիս ակտիվ պատուհանի սահմաններից: Այսպիսով, ինտերֆեյսի հիմնական կարգավորումների դեպքում պատուհանի տեղեկատվությունը մնում է ստատիկ և արտացոլում է միայն առաջինը գրանցված իրադարձությունները, վերջին իրադարձությունները գրվում են ցուցակի վերջում, և միայն կողային ոլորման կուրսորի փոփոխվող չափը ցույց է տալիս դրա ընդհանուր փոփոխությունը: երկարությունը։ Այնուամենայնիվ, ծրագրի այս վարքագիծը կարող է փոխվել՝ միացնելով իրադարձությունների ցանկի Autoscroll-ը՝ միացնելով համապատասխան տարբերակը կամ սեղմելով ստեղների համակցությունը Ctrl + A: Այս դեպքում իրադարձությունների ցանկը շարունակաբար պտտվելու է վերև՝ ցույց տալով համակարգի վերջին իրադարձությունները իրական ժամանակում:

Գործիքադարակ

Եկեք բացատրենք Process Monitor կոմունալ ինտերֆեյսի գործիքագոտում տեղադրված կոճակների նպատակը.

Ձախից աջ.

• Բաց - Նախկինում պահված իրադարձությունների (հետքեր) բեռնում;
• Պահպանել - Պահպանում է բոլոր գրավված իրադարձությունները (հետքերը);
• Սեւեռել - Միացնել/Անջատել իրադարձությունների նկարահանումը;
• Autoscroll - Ավտոմատ ոլորել իրադարձությունները հիմնական էկրանին;
• Մաքրել - Մաքրում է հիմնական պատուհանը և բոլոր տեսագրված իրադարձությունները;
• Զտիչ - Իրադարձությունների զտման և ընդգծման կարգավորում;
• Highlight - Միջոցառումների ընդգծման կարգավորում;
• Ներառել Գործընթացը պատուհանից - Կարգավորել իրադարձությունների զտումը աշխատասեղանի վրա հատուկ պատուհանի համար: Թույլ է տալիս թիրախը ուղղել ընտրված պատուհանի վրա, գործընթացի մոնիտորն ինքն է որոշելու, թե արդյոք պատուհանը պատկանում է գործընթացին և հնարավորություն կտա զտել այս գործընթացով;
• Ցույց տալ գործընթացի ծառը - գործընթացի ծառը;
• Գտնել - Որոնել իրադարձություններ՝ հիմնված նշված չափանիշների վրա;
• Jump To Object - Անցնել ռեեստրի բանալի կամ ֆայլ: Process Monitor-ը վերլուծում է ընտրված տողի Path սյունակի բովանդակությունը, գործարկում է ռեեստրի հետազոտողը/խմբագիրը և բացում համապատասխան ծառի տարրը.
• Ցույց տալ ռեեստրի գործունեությունը - Փոխել ռեեստրի գործունեության իրադարձությունների ցուցադրման վիճակը համակարգի բոլոր իրադարձությունների մեջ;
• Ցույց տալ ֆայլային համակարգի գործունեությունը - Փոխել համակարգի բոլոր իրադարձությունների մեջ ֆայլային համակարգի գործունեության իրադարձությունների ցուցադրման վիճակը;
• Ցույց տալ ցանցային գործունեությունը - Փոխել ցանցի գործունեության իրադարձությունների ցուցադրման վիճակը բոլոր համակարգի իրադարձությունների մեջ;
• Show Process and Thread Activity - Փոխել գործընթացի/թելերի գործունեության իրադարձությունների ցուցադրման վիճակը բոլոր համակարգի իրադարձությունների մեջ;
• Ցույց տալ պրոֆիլավորման իրադարձությունները - Փոխել պրոֆիլավորման իրադարձությունների ցուցադրման վիճակը համակարգի բոլոր իրադարձությունների միջև: Profiling – Իրադարձություններ, որոնք գրանցված են Process Monitor ծրագրի կողմից՝ յուրաքանչյուր գործընթացի կողմից օգտագործվող պրոցեսորի ժամանակի և հիշողության չափը հաշվարկելու համար:

Թեժ ստեղներ

Իրադարձությունների զտում

Ինչպես արդեն նշվեց, համակարգում տեղի ունեցող (տարբեր բաղադրիչների կողմից առաջացած) իրադարձությունների թիվը բավականին մեծ է: Իրադարձությունների թիվը, որոնք «տեսնում է» Process Monitor-ը, ավելի փոքր է, բայց ոչ շատ: Խելամիտ հարց է առաջանում՝ մեզ բոլոր իրադարձությունները պե՞տք են։ Պատասխանն ակնհայտ է. Ծրագրի հիմնական պատուհանում ցուցադրվող իրադարձությունների մեծ մասը բոլորովին անհարկի է օգտատիրոջ որոշակի բարձր մասնագիտացված խնդիրների համատեքստում: Դե, օգտվողը կարիք չունի տեսնելու հանկարծակի գործարկված թարմացման ծրագրի պատկերի բեռնման իրադարձությունները, մինչդեռ նա զբաղված է ռեեստրի ստեղների ուսումնասիրությամբ, որոնք պահում են իրեն հետաքրքրող ծրագրի կազմաձևերը: Հենց ավելորդ իրադարձությունները թաքցնելու նպատակով Process Monitor-ն ունի ճկուն և հզոր զտիչ գործիքներ: Զտիչը թույլ է տալիս թաքցնել անհարկի իրադարձությունները՝ դրանով իսկ սահմանափակելով ցուցադրվող տարրերի քանակը և նեղացնելով խնդրի որոնման տարածքը:

Զտելով՝ կարող եք թաքցնել իրադարձությունը, այսինքն՝ անջատել դրա ցուցադրումը։ Այնուամենայնիվ, բոլոր իրադարձությունները կգրանցվեն, և դուք ցանկացած պահի կարող եք դիտել զտված (թաքնված) իրադարձությունները՝ անջատելով (վերակայելով) զտիչը:

Քանի որ զտումը Procmon-ի հիմնական տարրերից մեկն է, դրա հնարավորությունները շատ լավ զարգացած են այս ծրագրում: Դուք կարող եք զտել իրադարձությունները՝ օգտագործելով ցանկացած հասանելի է ծրագրինիրադարձության հատկանիշներ. Process Monitor-ում իրադարձությունները զտելու մի քանի եղանակ կա.

Զտել ըստ դասի

Սա ամենաընդհանուր, կարելի է ասել կոպիտ իրադարձությունների զտումն է, որը թույլ է տալիս միանգամից բացառել իրադարձությունների մի ամբողջ դաս՝ ելքից՝ ռեեստր, ֆայլային համակարգ, ցանց, գործընթաց/թելերի գործունեություն, պրոֆիլավորման իրադարձություններ: Իրադարձությունների դասի զտման կարգավորումը ներկայացված է գործիքագոտու աջ կողմում գտնվող հինգ կոճակներով.

Համապատասխանաբար, այն պահին, երբ օգտագործողի կողմից հրամանի տողում անջատված է (սեղմված) դասի կոճակներից որևէ մեկը, զտիչների ընդհանուր շարքին ավելացվում է համապատասխան զտիչ՝ Exclude հրահանգով, որը թաքցնում է այս դասի բոլոր իրադարձությունները ելքից: .

Զտման ընտրացանկ

Ինչ տեսակի ֆիլտրեր էլ օգտագործվեն Process Monitor-ում, դրանք բոլորը հասանելի են Զտիչ ընտրացանկի և Զտիչ ենթակետի միջոցով: Սա զտման պարամետրերի ամբողջական (ընդհանուր) հավաքածու է և ներկայացված է հետևյալ ձևով.

Նույն ֆիլտրի կարգավորումների պատուհանը կարող է արագ կանչվել այլ եղանակներով՝ սեղմելով Ctrl + L ստեղների համակցությունը կամ սեղմելով Գործիքադարակի վրա գտնվող Filter կոճակը: Ֆիլտրի կարգավորումների պատուհանը օգտվողին տրամադրում է համակարգի իրադարձությունները դիմակավորելու բավականին հարուստ տարբերակներ: Process Monitor Filter պատուհանը բաժանված է երկու մասի. վերևում պարունակում են ինտերֆեյսի տարրեր զտիչ ավելացնելու համար, իսկ ներքևում պարունակում է ֆիլտրերի ցանկ, որոնք արդեն կիրառվում են ստանդարտ ելքի վրա: Զտիչը ավելացվում է ձախից աջ անցնելով բոլոր ատրիբուտների միջով, որոնք, իր հերթին, ներկայացված են բացվող ցուցակներով: Որոշ ատրիբուտներ կապված են միմյանց հետ, այսինքն՝ մեկ ցուցակից որևէ հատկանիշ ընտրելը կարող է հանգեցնել արժեքի ավտոմատ կարգավորում այլ ցուցակներում: Որոշ դաշտերում կարող եք փոփոխել արժեքը: Ձևավորումն ավարտելուց հետո զտիչ ավելացնելու համար պետք է սեղմել Ավելացնել կոճակը, այն ավելացնում է նոր զտիչ պարամետրեր պատուհանի ստորին հատվածում ներկայացված ֆիլտրերին:
Ընտրված ֆիլտրի կանոնները խմբագրելու համար պարզապես կրկնակի սեղմեք պատուհանի ներքևում գտնվող ֆիլտրը նկարագրող համապատասխան տողի վրա: Այսպիսով, դուք կտեղափոխեք պարամետրերը վերին մաս (կլրացվեն համապատասխան պայմանները), որտեղ կարող եք խմբագրել դրանք և կրկին սեղմելով Ավելացնել կոճակը, ավարտել ֆիլտրի խմբագրումը, այն կրկին տեղափոխելով պատուհանի ստորին հատված, ակտիվ ֆիլտրերի ցանկին: Դուք կարող եք հեռացնել զտիչը՝ օգտագործելով «Հեռացնել» կոճակը: Զտիչները խմբագրելուց հետո դրանք կարող են գործարկվել (ակտիվացվել)՝ սեղմելով OK կամ Դիմել կոճակը: Նախնական ֆիլտրի կարգավորումները վերականգնելու համար այն նախնական վիճակին, որն առկա էր ծրագրի մեկնարկի ժամանակ, սեղմեք «Վերականգնել» կոճակը:
Ինչպես նկատել եք, լռելյայն կանխորոշված ​​ֆիլտրերի ցանկը պարունակում է Exclude տեսակի կանոնների մի շարք: Այս կանոնները ծառայում են քողարկելու իրադարձությունները, որոնք, հեղինակների կարծիքով, օպերացիոն համակարգի այն բաղադրիչների գործունեության իրադարձություններն են, որոնք սցենարների մեծ մասում չեն օգտակար տեղեկատվությունհավելվածի խնդիրները լուծելու համար: Այստեղ դուք կարող եք գտնել բացառություններ Procmon-ի (Process Monitor), Procexp (Process Explorer), Autoruns կոմունալ ծառայությունների, համակարգի գործընթացների, ցածր մակարդակի I/O հարցումների համար: Windows դրայվերներ IRP_MJ, ցածր մակարդակի FAST_IO գործողություններ, հետագծային իրադարձություններ, pagefile.sys իրադարձություններ, NTFS մենեջերի մետատվյալների իրադարձություններ:

Արագ զտիչ

Հիմնական պատուհանում ցուցադրվող իրադարձության որոշ պարամետրերի վրա կարող եք կիրառել այսպես կոչված «արագ զտիչ»: Այն ակտիվանում է ծրագրի հիմնական պատուհանում իրադարձության վրա աջ սեղմելով.

Բացվածի մեջ համատեքստային մենյուԴուք կարող եք միանգամից մի քանիսը տեսնել տարբեր ձևերովֆիլտրում. Կախված այն բանից, թե տողում որ սյունակի արժեքն է սեղմված մկնիկի աջ կոճակը, մենք կարող ենք բացառել կամ ներառել ամբողջ ելքային զանգվածից այն իրադարձությունները, որոնք համընկնում են սյունակի արժեքի հետ։ Դա արվում է՝ ընտրելով համապատասխան տարրը՝ սկսած Include ... (Include) և Exclude ... (Exclude) տառերով: Համատեքստի ընտրացանկը պարունակում է նաև հետևյալ տարրերը՝ Խմբագրել զտիչը..., Բացառել իրադարձությունները առաջ, բացառել իրադարձությունները հետո:

Զտում ըստ պատուհանի սեփականատիրոջ

Ի լրումն հիմնական զտման ընտրանքների, Procmon կոմունալը հնարավորություն ունի զտել իրադարձությունները հավելվածի պատուհանի բռնակով (իդենտիֆիկատորով): Սա բավականին հարմար ֆունկցիոնալ հատկություն է, քանի որ այն օգտվողին հնարավորություն է տալիս դիտելու գործընթացի իրադարձությունները, որոնց պատուհանը հայտնվում է աշխատասեղանին: Այս գործառույթն ակտիվացնելու համար գործիքագոտում գտեք խաչմերուկի պատկերակը.

Քաշեք այն ձեզ հետաքրքրող պատուհանի վրա, և Procmon-ը կստեղծի համապատասխան զտիչ գործընթացի համար, որին պատկանում է ընտրված պատուհանը՝ համապատասխանաբար փոխելով հիմնական պատուհանի ելքը:

Միջոցառման ընդգծում

Բացի զտիչներից, Procmon-ը հնարավորություն ունի նշելու իրադարձությունները՝ դրանք ընդգծելով գույնով: Մինչ զտումը թաքցնում է ավելորդ իրադարձությունները ելքից, ընդգծումը պարզապես ընդգծում է ցանկի անհրաժեշտ իրադարձությունները: Անմիջապես, կարծես թե, այն չի վերաբերում ֆիլտրերին, քանի որ այն չի թաքցնում իրադարձությունները, այլ միայն դրանք նշում է այլ գույնով ցուցակում: Դուք կարող եք բացել Process Monitor-ի հետին լույսի կարգավորումների պատուհանը՝ սեղմելով Ctrl + H ստեղների համակցությունը կամ սեղմելով առաջադրանքների տողի համապատասխան պատկերակը: Այն կարծես այսպիսին է.

Ինչպես տեսնում եք, այն նույնական է ֆիլտրի կարգավորումների պատուհանին, բացառությամբ, որ լռելյայն այն չունի կարգավորումներ, այսինքն՝ հետին լույսն ամբողջությամբ անջատված է: Հետին լույսի պարամետրերը սահմանելու և Highlighting պատուհանի արդյունքների նմուշառման ալգորիթմը շատ առումներով նման է Զտիչ պատուհանում եղածներին:

Որոնում ըստ իրադարձությունների

Զտման արդյունքները գերազանց են: Զտիչը մեզ թույլ է տալիս ճկուն կերպով շահարկել նմուշը իրադարձությունների ընդհանուր հոսքից, սակայն շատ դեպքերում բավականին դժվար է ստեղծել այնպիսի պայմաններ, որոնց դեպքում զտված իրադարձությունների շրջանակը կնեղացվի որոշ ընդունելի նվազագույնի: Դեռևս շատ արդյունքներ կան, և երբեմն զտված շարքերի տարածքում անհրաժեշտ է գտնել հանկարծակի հայտնաբերված հաստատուն: Երբեմն օգտակար է գտնել մի քանիսը հիմնաբառգրավված տեղեկատվության ողջ ծավալում՝ չհասկանալով, թե որ սյունակում այն ​​կարող է տեղակայվել, ուստի ֆիլտր ստեղծելը խնդրահարույց է ստացվում: Այս և շատ այլ գործառնական կետեր խոսում են մանկուց բոլորին ծանոթ ավանդական որոնման օգտին: Որոնման պատուհանը բացվում է՝ սեղմելով Ctrl + F ստեղնաշարի համակցությունը կամ անցնելով Խմբագրել - Գտնել ընտրացանկը.

Կցուցադրվի Microsoft-ի այլ արտադրանքներից արդեն ծանոթ որոնման պատուհանը: Որոնումն իրականացվում է առանց բացառության Process Monitor-ի հիմնական պատուհանի բոլոր ելքային դաշտերի արժեքների միջոցով, և երբ հայտնաբերվում է առաջին համընկնումը, կոմունալը էկրանը ոլորում է դեպի գտնված արժեքը և նշում է ամբողջ գիծը հայտնաբերված բանալի հատվածով: կապույտով։

Միջոցառման մանրամասները

Գործընթացի մոնիտորը ստանում է բավականին մեծ քանակությամբ լրացուցիչ տեղեկություն. Դրանք բոլորը ցուցադրվում են Մանրամասն սյունակում: Դրանցից շատերը զուտ տեղեկատվական են, ուստի դրանք սովորաբար բաց են թողնում վերլուծության ժամանակ: Այստեղ դուք կարող եք գտնել գործողության համար պահանջվող մուտքի մակարդակը, գործառույթների հարցումների մանրամասները, Լրացուցիչ ընտրանքներորոշ գործառույթներ, վարորդների փաթեթի անվանումներ և այլն:

Իրադարձության ուսումնասիրություն

Իրադարձությունների ձայնագրման գործընթացում Process Monitor-ի կողմից հավաքագրված ամբողջ տեղեկատվությունը ներկայացված է հսկայական աղյուսակի տեսքով, որի յուրաքանչյուր տող արտացոլում է տեղի ունեցած կոնկրետ իրադարձության միայն ընդհանրացված նկարագրությունը: Ուրեմն ի՞նչ, ի՞նչ եք կարծում, կոմունալ ծառայության հիմնական էկրանում ներկայացված սահմանափակ տեղեկատվության տեսքով մի քանի սյունակներում բավարա՞ր է: Երբեմն այո, բայց հաճախ ոչ: Պետք է արժանին մատուցենք Process Monitor-ի հեղինակներին ձայնագրված իրադարձությունների ավելի մանրամասն ուսումնասիրության տրամաբանություն տրամադրելու համար: Եկեք կրկնակի սեղմենք իրադարձությունների տողի վրա և տեսնենք, թե ինչ է տեղի ունենում: Կրկնակի սեղմելուց հետո բացվում է առանձին պատուհան, որն ունի հետևյալ տեսքը.

Իրադարձության ներդիրում մենք տեսնում ենք ընդհանուր տեղեկությունմեզ հետաքրքրող իրադարձության մասին։ Ընդհանուր առմամբ, այս կոնկրետ ներդիրը մեծ արժեք չունի հետազոտողի համար, քանի որ այն պարունակում է տեղեկատվություն, որը կարելի է ձեռք բերել օգտակար ինտերֆեյսում այլ ձևերով: Բայց պատուհանի մնացած երկու ներդիրները միանշանակ կարող են մեզ հետաքրքրել։ Միջին ներդիրը կոչվում է Գործընթաց և ունի հետևյալ տեսքը.

Այստեղ մենք տեսնում ենք մոդուլի ուղին (ուղի), հրամանի տող, որի հետ գործարկվել է մոդուլը (Command Line), օգտատերը, ում արտոնություններով գործարկվել է գործընթացը (Օգտվող), մուտքի սեսիայի նույնացուցիչը (Auth ID), որում գործում է գործընթացը՝ գործողության սեփականատերը, և ամբողջականությունը։ մակարդակ (Ամբողջականություն), որը նշանակված է գործարկման գործընթացի սեփականատիրոջը գործարկման ժամանակ: Հատուկ ուշադրություն է դարձվում տեղեկատվական պատուհանին (Modules) բեռնված գրադարանների ցանկով, որը մեծապես օգնում է բացահայտել անկոչ հյուրերին՝ տարբեր տեսակի չարամիտ ծրագրերի տեսքով: Բայց առաջադեմ հետազոտողների համար իրական արժեքը Stack-ի վերջին, ամենաաջ ներդիրն է, որը թույլ է տալիս տեսնել գործընթացի հիմնական շղթայի զանգերի կույտը.

Ինչպես տեսնում ենք, այս ներդիրում դուք կարող եք գտնել գործառույթների զանգերի դասական շղթան, որը մեզ լավ հայտնի է WinDbg կարգաբերիչից, որը կոչվում է զանգերի կույտ: Նախ, այն թույլ է տալիս հետևել ֆունկցիայի կանչերի հաջորդականությանը այն պահից, երբ սկսվում է շարանը սկսելու գործառույթը: Երկրորդ, գործառույթների կանչերի հաջորդականությամբ դուք կարող եք որոշել, թե որ մոդուլներին (գրադարաններին) են պատկանում այդ գործառույթները՝ դրանով իսկ բացահայտելով համակարգի բաղադրիչները, որոնք կամ պահանջում են թարմացում, կամ ընդհանրապես չպետք է օգտագործվեն տվյալ մոդուլում (օրինակ՝ վիրուսներ):

Օգտագործման դեպքեր

Որոշ նշումներ Process Monitor ծրագրի կարգավիճակի վերաբերյալ.

• Իրադարձությունը, որի գործող դաշտը Load Image է, օգնում է ախտորոշել ծրագրի գործարկման խնդիրները: Եթե ​​ծրագիրն ինչ-ինչ պատճառներով չի սկսվում, ապա նայեք ընդհանուր ցուցակիրադարձություն Load Image գործողությամբ և դիտեք DLL-ների ցուցակները, որոնք բեռնված են (նկարագրված են դրանց իրադարձություններով) պատկերի բեռնման իրադարձությունից անմիջապես հետո: Եթե ​​հիշենք պատկեր բեռնելու ալգորիթմը, ապա կհասկանանք, որ սովորաբար Load Image գործողությանը հաջորդում են անհրաժեշտ DLL գրադարանների որոնման իրադարձությունները: Փաստն այն է, որ Windows boot loaderպատրաստում է գործընթացի հասցեների տարածությունը՝ նախագծելով ամեն ինչ դրա մեջ ծրագրի համար անհրաժեշտգրադարանների և նախնական փուլում անուղղակի կապի իրականացում: Եթե ​​անհրաժեշտ հիմնական ծրագրերից որևէ մեկում DLL-ներնրա պատկերը բեռնելիս սխալ տեղի ունեցավ, ակնհայտ է, որ Windows boot loader-ը չի կարողանա գործարկել հիմնական ծրագիրը: Պատկերի բեռնման իրադարձությունը գրանցվում է «մուտքը մերժված» (ACCESS DENIED) կարգավիճակով.
• Ստատուսներ, որոնց վրա նախ պետք է ուշադրություն դարձնեք. ՄՈՒՏՔԸ ՄԵՐԺՎԱԾ Է, ԿԻՍՎԵԼՈՒ ԽԱԽՏՈՒՄԸ, ԱՆՈՒՆԸ ՉԻ ԳՏՆՎԵԼ (վերջինում կան բացառություններ): ԱՆՈՒՆԸ ՉԳՏՎԱԾ կարգավիճակը շատ դեպքերում բավականին բնորոշ ավարտական ​​կարգավիճակ է, պետք չէ այդքան չափազանցել դրա նշանակությունը և համարել այն բոլոր անախորժությունների մեղավորը: Հաճախ կարգավիճակը ցուցադրվում է, երբ հավելվածը ստուգում է ֆայլի կամ ռեեստրի բանալիի առկայությունը (ծրագրի կոնֆիգուրացիան) և այս ստուգման արդյունքների հիման վրա կատարում է այս կամ այն ​​ծածկագիրը, այսինքն՝ տրամաբանական ճյուղավորում է կատարում՝ կախված նրանից. խնդրանքի արդյունքը. Ծրագիրը կարող է չգտնել ռեեստրի ստեղնը, որը պարունակում է իր սեփական կոնֆիգուրացիան, և նման դեպքերում մենք կտեսնենք նույն ԱՆՈՒՆԸ ՉԳՏՆՎԵԼ կարգավիճակը: Մի խոսքով, ԱՆՈՒՆ ՉԳՏՆՎԵԼ կարգավիճակը պետք է դիտարկել այն իրադարձության համատեքստում, որը հանգեցրել է դրան:
• Սկավառակի ենթահամակարգի չափազանց ծանրաբեռնվածության մեղավորը որոշելու համար. գործարկեք Procmon, ստեղծեք ֆիլտր կարգավորումներով Path - սկսեք - C:\ (չնայած ցանկացած հետաքրքիր կարող է նշվել այստեղ: տրամաբանական շարժիչ) և սեղմեք OK: Այնուհետև տվյալների կարճ հավաքագրումից հետո (~մեկ րոպե), գնացեք Գործիքներ ընտրացանկ և ընտրեք Գործընթացի գործունեության ամփոփում կետը: Բացվող պատուհանում դասավորեք ըստ File Events սյունակի և ցուցակի վերևում ստացեք այն գործընթացների անվանումները, որոնք ակտիվորեն աշխատում են ֆայլային համակարգի հետ: Այնուհետև պարզելու համար, թե որ ֆայլերն են ներգրավված տվյալների ինտենսիվ փոխանակման մեջ, կարող եք ընտրել «Գործիքներ» ընտրացանկը և «Ֆայլի ամփոփում» կետը և բացվող պատուհանում դիտել սկավառակի գործառնություններում ներգրավված ֆայլերի ցանկը: Արդյունքը ավտոմատ կերպով տեսակավորվում է ըստ «Ընդամենը իրադարձություններ» սյունակի, այնպես որ ցուցակի վերևում մենք տեսնում ենք սկավառակի մուտքի/ելքի գործողություններում առավել ինտենսիվ օգտագործվող ֆայլերը:

Բեռնման փուլի ախտորոշում

Շատ հաճախ լինում են իրավիճակներ, երբ օպերացիոն համակարգի հետ կապված խնդիրները սկսվում են օգտատիրոջ միջերեսը նկարելուց շատ առաջ, արդեն բեռնման փուլում: Ցանցի նման խափանումները ախտորոշելու համար կան մի շարք մասնագիտացված գործիքներ, ինչպիսիք են, օրինակ. Process Monitor օգտակար ծրագիրը լավ տեղավորվում է այս տիրույթում: Procmon-ը գրանցում է բեռնման փուլում գործող բոլոր գործընթացների իրադարձությունները՝ օգտագործելով boot փուլի դրայվերը, որը կոչվում է procmon23.sys (անունը կարող է տարբեր լինել տարբերակից տարբերակ), որը նկարագրված էր հոդվածի սկզբում: Ցավոք, վարորդը սկսում է Winload.exe մոդուլի փուլից, ինչը թույլ չի տալիս շտկել Bootmgr-ի ավելի վաղ փուլը, սակայն, շատ դեպքերում, դուք կարող եք աչք փակել այս փոքրիկ մանրամասնության վրա: Բեռնման գործընթացի գրանցումն ակտիվացնելն ակտիվացվում է «Ընտրանքներ» ցանկի «Միացնել բեռնման գրանցումը» տարբերակի միջոցով:

Մեխանիզմը միացնելուց բացի, Procmon-ն առաջարկում է կանոնավոր ընդմիջումներով ակտիվացնել շղթայի պրոֆիլավորումը: Սա կարևոր է, քանի որ շատ դեպքերում բեռնման հետ կապված խնդիրները կապված են որոշակի գործընթացների դանդաղ աշխատանքի հետ: Նման «դանդաղեցնող» գործընթացներին հետևելու համար է, որ պրոֆիլավորումը միացված է, ինչը թույլ է տալիս կանոնավոր պարբերականությամբ ստեղծել թելերի ակտիվության պատկերներ պրոցեսում (զանգերի կույտ և այլ տվյալներ): Արդյունքում, գրանցված տեղեկատվությունը օգնում է հասկանալ, թե կոնկրետ ինչ գործողությունների վրա է շարանը ծախսում պրոցեսորի ժամանակը:
Enable Boot Logging տարբերակը միացնելուց հետո կարող եք վերագործարկել օպերացիոն համակարգը: Ներբեռնումն ավարտվելուց հետո գործարկեք Process Monitor ծրագիրը՝ ներբեռնման գործընթացի մատյան ֆայլերը պահպանելու համար և տեսեք հետևյալ երկխոսության տուփը.

Որում մեզ խնդրում են ներբեռնման գործընթացի իրադարձությունները պահել առանձին log ֆայլում՝ .pml ընդլայնմամբ: Կախված տեղեկատվության քանակից, գրանցամատյանի ֆայլը կարող է պահպանվել կամ մեկ ֆայլում կամ բաժանվել մոտավորապես հավասար չափի ֆայլերի շարքի:

«Միջին բեռնված» :) Windows 7 SP1 x64 օպերացիոն համակարգի բեռնման փուլերում Process Monitor-ի դրայվերի կողմից գրանցված տեղեկատվության քանակը բավականին մեծ է: Թելերի պրոֆիլավորումը միացված տիպիկ չափը կարող է գերազանցել 1500 մեգաբայթը:

Բեռնման փուլի գործունեության տեղեկամատյանների ֆայլերը պահելուց հետո կարող եք հետագայում վերլուծել դրանք՝ բացելով դրանք Process Monitor-ում, կամ կրկնակի սեղմելով .pml ֆայլի վրա, կամ բացելով այն անմիջապես File - Open ցանկի միջոցով: Այնուամենայնիվ, այստեղ կա մեկ նախազգուշացում. եթե բեռնման գործընթացի գրանցամատյանի ֆայլը կամ ֆայլերի հավաքածուն չափազանց մեծ է, և կոմունալը չի ​​կարող բավարար տարածք գտնել էջի ֆայլում կամ մշակել վիրտուալ տարածություն՝ բուֆեր ստեղծելու համար, ապա սխալ՝ «Անհնար է բացել Bootlog-ը։ .pml կարդալու համար» ցուցադրվում է: Ես անձամբ լուծել եմ այն՝ ժամանակավորապես միացնելով փոխանակման ֆայլը, որն ավանդաբար ընդհանրապես անջատել եմ:

Գործընթացի մոնիտոր - անվճար ծրագիր, որը վերահսկում է Windows պրոցեսների ակտիվությունը։ Թույլ է տալիս իրական ժամանակում վերահսկել ռեեստրի աշխատանքը, վերահսկել հոսքերը, զտումը և նիստերի ID-ները: Հավելվածը տրամադրում է ամենահուսալի տեղեկատվությունը, թույլ է տալիս արդյունքներ գրանցել ռուսերեն լեզվով տեքստային ֆայլեր. Մեկ այլ առանձնահատկություն ծրագրային ապահովումվերահսկում է վարորդների աշխատանքը, նկարներ ներբեռնում։ Դուք կարող եք հավելյալ ներբեռնել անվնաս զտիչներ՝ օգտագործման ավելի հեշտ հասնելու համար:

Ծրագրի դրական և բացասական կողմերը

• Գործընթացների ամբողջական համապարփակ վերահսկողություն. համակարգչի գործարկումից մինչև անջատում;
• փոխազդեցություն DLL-ների հետ;
• Կոմունալը ապահովում է կույտերի հավաքում.
• առաջադեմ ձայնագրման մատյան ճարտարապետություն, որը թույլ է տալիս գրանցել մինչև մի քանի միլիոն իրադարձություն.
• պարզ որոնում;
• օգտակար խորհուրդների առկայությունը.

Թերություններ:

• հետքի տեղեկատվություն;
• ֆորմատավորված տվյալների հետ աշխատելու դժվարությունը, որոնք միշտ չէ, որ տեղավորվում են սյունակում:

Այսպիսով, հավելվածի վերը նշված առավելությունները դարձնում են Process Monitor օգտակար գործիքխնդիրներին հետևելու և անսարքությունների վերացման համար՝ սկսած վնասակար կոդվարորդի սխալներից առաջ!

Գործընթացի մոնիտոր– Windows օպերացիոն համակարգի ռեեստրի, ֆայլային համակարգի, գործընթացների և թելերի հետ աշխատելու գործիք: Ծրագիրը ներառում է նախորդի առավելությունները Windows հավելվածներ, որը նախատեսված է համակարգի աշխատանքը վերահսկելու համար: Գործընթացի մոնիտորաջակցում է առաջադեմ զտիչին և ֆայլում տեղեկատվության միաժամանակյա գրանցմանը: Օգտագործելով գործիքը՝ կարող եք հետևել ընթացիկ գործընթացների և թելերի գործարկմանը և դադարեցմանը: Հավելվածն աջակցում է DLL պատկերների, դրայվերների ներբեռնման հետևում տարբեր սարքեր. Կոմունալ ծրագիրը հավաքում է ավելի շատ տվյալներ կատարված մուտքային և ելքային գործողությունների պարամետրերի վերաբերյալ: Թելերի կույտերի հավաքումը թույլ է տալիս որոշել որոշակի գործողության հիմնական պատճառը: Process Monitor-ն ունի ներկառուցված գործընթացի գործիքների հուշումներ՝ հեշտացնելու համար որոշակի գործընթացի պատկերի մասին տեղեկատվությունը դիտելը:

- Նախագծված է ռեեստրի ֆայլերի, գործընթացների, թելերի կույտերի և ֆայլային համակարգի հետ դիտելու և աշխատելու համար:
- Թույլ է տալիս տեղադրել զտիչներ, որոնք չեն հանգեցնում տեղեկատվության կորստի:
- Պատվերով սյունակները կարող են տեղափոխվել յուրաքանչյուր իրադարձության սեփականության համար:
- Մատյան ձևաչափի շնորհիվ բոլոր տվյալները պահվում են ծրագրի մեկ այլ տարբերակում հետագայում բեռնելու համար:
- Կատարում է գործընթացի տվյալների հուսալի որոնում, որը ներառում է տեղեկատվություն գործընթացի պատկերի ուղու, օգտագործողի ID-ի և նստաշրջանի մասին:
- Աջակցում է համակարգի գործարկման ժամանակ ակտիվ յուրաքանչյուր գործողության դադարեցման որոնումը և գրանցումը:

Ծրագրի թերությունները