Process Monitor(Windows监视)

Process Monitor 是一款面向 Windows 平台的高级系统监视工具，它的前身是 Sysinternals 旗下的 Filemon 和 Regmon，开发团队将两者的能力整合并做了大量扩展。除了能跟踪进程与线程的活动，它还把文件系统、注册表的读写变化纳入实时监控范围。工具内置了非破坏性筛选、完整事件属性、带符号的线程堆栈以及并行日志记录等机制，让系统排障和恶意软件分析有了更扎实的数据支撑。是排查软件安装残留，还是定位异常行为来源，它都能提供相当细粒度的观察视角。

从 Filemon 与 Regmon 整合而来

Process Monitor 把 Filemon 的文件监控和 Regmon 的注册表监控合二为一，并补充了大量增强能力

1、 支持非破坏性过滤，定义筛选条件时不会丢失已经捕获的数据

2、 每条事件都带有会话 ID、用户名等完整属性，方便区分不同用户环境下的操作

3、 进程信息来源可靠、可获取映像路径、命令行、完整性级别、用户和会话 ID 等细节

4、 针对每个操作提供完整的线程堆栈，并集成符号信息，便于追溯操作源头

5、 日志可以并行写入同一文件，长时间记录也不容易中断

进程与映像活动的捕获范围

在进程和线程层面，Process Monitor 能持续记录启动与退出行为，并连带输出退出状态代码

1、 监视映像加载情况，涵盖 DLL 和内核模式驱动程序

2、 捕获更多输入输出参数操作，比传统工具保留更完整的调用上下文

3、 进程树工具会展示所有进程之间的层级关系，理清父子关系不再靠猜

4、 把鼠标悬停在进程上会出现提示，快速查看进程信息；详细提示还能补全列中显示不全的内容

5、 系统引导阶段的所有操作也能被记录下来，适合排查开机阶段的问题

筛选、列与日志机制

工具的筛选体系允许按任意数据条件来过滤事件，包括那些当前视图里没有显示出来的字段

1、 事件属性列可以完全自定义，按分析需要调整展示内容

2、 过滤器设置不会破坏已捕获的数据，调整条件后仍可回看完整记录

3、 高级日志机制能记录上千万条事件，日志数据可达数 GB 级别

4、 原生日志格式把所有数据信息完整保存，可交给另一个 Process Monitor 实例加载分析

5、 搜索过程支持取消，不会因为误操作而卡住界面

在排障与恶意软件分析中的位置

凭借对进程、线程、文件系统和注册表的综合监视能力，Process Monitor 常被当作系统故障排除和恶意软件捕获工具包里的核心实用工具

1、 当系统出现异常读写、不明进程启动或注册表被篡改时，可以用它回溯操作链条

2、 结合线程堆栈和符号信息，能在一系列操作中定位到具体是哪个模块触发的行为

3、 可靠的进程详细信息有助于区分正常系统组件与可疑程序，减少误判

4、 日志可长期保留并跨实例加载，适合把现场数据带回另一台机器做深入分析