أدوات Sysinternals للتحكم في العمليات في نظام التشغيل Windows باحترافية

إنفورماتيك ديجيتال » موارد » أدوات Sysinternals للتحكم في العمليات في نظام التشغيل Windows باحترافية

إذا كنت تستخدم نظام ويندوز لفترة من الوقت وتجد أن مدير المهام لا يكفي لفهم ما يحدث فعليًا في نظامك، فإن Sysinternals هو ما تبحث عنه تمامًا. تتيح لك هذه المجموعة من أدوات مايكروسوفت المتقدمة رؤية تفاصيل العمليات الجارية، والملفات التي تصل إليها، ومفاتيح التسجيل التي تعدّلها، وحتى اتصالات الشبكة التي تفتحها.

كانت هذه الأدوات موجودة قبل اعتمادها من قبل مايكروسوفت بفترة طويلة، ورغم أن الكثير منها لا يُلاحظ، إلا أنها تُعدّ أداةً متعددة الاستخدامات لتحليل عمليات ويندوز، واكتشاف الأخطاء، ومكافحة البرمجيات الخبيثة . سنستعرض بالتفصيل كيفية الاستفادة من Process Explorer وProcess Monitor وغيرها من أدوات Sysinternals المُخصصة للعمليات، وذلك بأسلوب واضح وأمثلة عملية.

ما هو برنامج Sysinternals ولماذا هو مفيد جدًا لتحليل العمليات؟

Sysinternals هو مشروع أنشأه مارك روسينوفيتش وبرايس كوجسويل عام 1996 لاستضافة أدوات تشخيصية صغيرة ومتقدمة، ركزت في البداية على أنظمة التشغيل Windows NT وWindows 2000 وWindows XP. كان الموقع الأصلي يُسمى NTinternals، وقد صُمم لعرض آلية عمل نظام التشغيل الداخلية حتى يتمكن المسؤولون والمطورون من فهم ما يحدث "خلف الكواليس".

بعد عشر سنوات، في عام 2006، استحوذت مايكروسوفت على المشروع ودمجته في موقعها الإلكتروني: ومنذ ذلك الحين، يُعاد توجيه الزوار من موقع sysinternals.com إلى قسم مايكروسوفت الرسمي . ومع ذلك، بقيت الفكرة الأساسية كما هي: أدوات صغيرة الحجم وخفيفة الوزن، سهلة الحمل في الغالب (ما عليك سوى نسخها وتشغيلها)، والتي لا تزال تُحدَّث وتُوسَّع وتُحسَّن باستمرار.

صُممت هذه الأدوات في الأساس لمسؤولي الأنظمة، ومتخصصي تكنولوجيا المعلومات، والمطورين ، ولكن يمكن لأي مستخدم متقدم الاستفادة منها بشكل كبير. فهي تتيح لك فهم وتكوين وإدارة جوانب محددة للغاية من نظام ويندوز: بدءًا من العمليات التي تُشغّل عند بدء التشغيل، مرورًا بالعمليات التي تستهلك وحدة المعالجة المركزية، وصولًا إلى ملفات DLL التي يتم تحميلها، ومنافذ الشبكة المستخدمة.

تتضمن المجموعة الكاملة أكثر من 70 أداة مساعدة، وهي متوفرة أيضًا في متجر مايكروسوفت باسم Sysinternals Suite . لن تحصل عند تثبيتها من المتجر على أيقونة تطبيق واحدة؛ بل ستحصل على مجموعة من الملفات التنفيذية والوثائق، والتي يمكنك تشغيلها بالبحث عن كل أداة بالاسم أو بالانتقال إلى موقعها.

Sysinternals Live: تشغيل الأدوات دون تثبيتها

إحدى المزايا الرئيسية لهذه المجموعة من الأدوات المساعدة هي Sysinternals Live ، وهي خدمة تسمح لك بتشغيل الأدوات مباشرة من الشبكة، دون الحاجة إلى تنزيل أي شيء وفك ضغطه يدويًا على القرص الخاص بك.

لاستخدامه من مستكشف الملفات، ما عليك سوى كتابة مسار الأداة باستخدام نطاق Sysinternals Live، على سبيل المثال: live.sysinternals.com/<toolname> أو طريق جامعة نورث كارولينا \\live.sysinternals.com\tools\<toolname>وبهذه الطريقة، سيفتح نظام التشغيل Windows الملف التنفيذي مباشرة من مشاركة Microsoft.

إذا كنت تفضل استخدام وحدة التحكم، فيمكنك تشغيل أي أداة مساعدة باستخدام مسار مشابه: \\live.sysinternals.com\tools\<toolname>هذا يوفر عليك عناء إدارة النسخ المحلية ويضمن أنك تستخدم دائمًا أحدث إصدار من كل أداة.

لاستكشاف كل ما هو متاح، يمكنك فتح https://live.sysinternals.com/ في متصفحك أو مستكشف ويندوز ، حيث سترى الدليل الكامل لأدوات Sysinternals Live الجاهزة للاستخدام.

مستكشف العمليات: "مدير المهام فائق الأداء"

يُعدّ برنامج Process Explorer بلا شكّ أشهر أدوات Sysinternals فيما يتعلق بعمليات نظام التشغيل Windows . ويتمثل هدفه في عرض تفاصيل أكثر بكثير من مدير المهام، حول ما يقوم النظام بتشغيله، وكيفية تفاعل العمليات، والموارد التي تستخدمها في أي وقت، وذلك بهدف تحسين الأداء.

تنقسم واجهة مستكشف العمليات إلى نافذتين فرعيتين رئيسيتين. في الأعلى، تُعرض دائمًا قائمة بجميع العمليات النشطة ، وعادةً ما تكون مُنظمة في بنية شجرية لعرض العمليات الأصلية والفرعية، إلى جانب بيانات مثل وصف البرنامج، والشركة، ومعرّف العملية (PID)، واستخدام وحدة المعالجة المركزية، واستخدام الذاكرة، وما إلى ذلك. كما تُعرض أيضًا أسماء حسابات المستخدمين التي تمتلك كل عملية.

يمكن تشغيل النافذة السفلية في وضعين: وضع المقابض ووضع مكتبات الارتباط الديناميكي (DLL). في وضع المقابض، ستظهر لك المقابض التي فتحها التطبيق المحدد (الملفات، مفاتيح التسجيل، كائنات النظام، إلخ). أما في وضع مكتبات الارتباط الديناميكي، فسيتم عرض مكتبات الارتباط الديناميكي والملفات المُخزّنة في الذاكرة التي قام التطبيق بتحميلها. يُعدّ هذا الأمر بالغ الأهمية لتحديد الملف الذي يقوم التطبيق بقفله أو الوحدة النمطية المشبوهة التي تم حقنها في عملية شرعية.

يتضمن برنامج Process Explorer أيضًا وظيفة بحث قوية تتيح لك تحديد العملية التي تُبقي ملفًا أو مكتبة DLL معينة مفتوحة . ما عليك سوى إدخال الاسم أو جزء منه، وستحصل فورًا على قائمة بالعمليات المعنية - وهو أمر مفيد للغاية عندما لا يسمح لك نظام Windows بحذف ملف "لأنه قيد الاستخدام" وتريد معرفة من يحتفظ به.

ومن نقاط القوة الأخرى التحقق من التوقيع الرقمي . باستخدام خيار "التحقق"، يمكنك التأكد من أن الملفات التنفيذية وملفات DLL المحملة في الذاكرة تحمل توقيعًا صالحًا من الشركة المصنعة. يساعد هذا في التمييز بين العمليات المشروعة والملفات الثنائية التي قد تكون مُعدّلة أو غير موقّعة، وهو أمر شائع جدًا في البرامج الضارة أو البرامج القديمة التي لم تعد تُحدّث.

تستخدم الأداة أيضًا الألوان لتمييز العمليات بصريًا : خدمات النظام، والعمليات ضمن سياق مستكشف ويندوز، والتطبيقات المعبأة، وما إلى ذلك. تتيح لك نظرة سريعة على عمود الأسماء والألوان رؤية شكل كل عنصر دون الحاجة إلى الخوض في الكثير من التفاصيل في البداية.

بالإضافة إلى ذلك، يوفر مستكشف العمليات عرضًا زمنيًا يوضح بيانيًا وقت بدء كل عملية . في تحليل الحوادث الأمنية أو السلوكيات الشاذة، تساعد هذه الميزة في تحديد وقت بدء النشاط المشبوه وكيفية ارتباطه بالعمليات الأخرى التي بدأت خلال نفس الفترة الزمنية.

تُعد هذه الأداة مثالية لتتبع مشكلات إصدار DLL، وتسريبات المقابض (المقابض التي لا يتم تحريرها أبدًا)، وبشكل عام لفهم أفضل لكيفية عمل نظام التشغيل Windows داخليًا وما تفعله تطبيقاتك بالفعل.

مراقب العمليات: فحص فوري للملفات والسجلات والعمليات

يُعدّ برنامج مراقبة العمليات (Procmon) مكونًا رئيسيًا آخر في منظومة Sysinternals. وهو أداة مراقبة متقدمة تعرض جميع أنشطة نظام الملفات، وأنشطة سجل ويندوز، والعمليات أو الخيوط قيد التشغيل في الوقت الفعلي.

يجمع هذا البرنامج بين مزايا أدوات Filemon وRegmon القديمة ويتفوق عليها، مضيفًا قائمة طويلة من التحسينات المصممة لتتبع شامل دون فقدان أي معلومات . ومن أبرز ميزاته نظام ترشيح مرن للغاية وغير مُتلف للبيانات: حيث يمكنك تطبيق المرشحات وتعديلها وإزالتها فورًا دون فقدان أي أحداث تم تسجيلها مسبقًا.

يعرض كل حدث مسجل خصائص شاملة، بما في ذلك معرّفات الجلسات، وأسماء المستخدمين، ومسار صورة العملية ، وسطر الأوامر الذي تم تشغيله منه، ومعرّفات العمليات والخيوط، وغير ذلك الكثير. ويمكن لكل عملية التقاط مكدسات الخيوط باستخدام دعم الرموز المدمج، مما يساعد في تحديد السبب الجذري لأي استدعاء.

تم تصميم بنية التسجيل الداخلية لتتوسع بشكل جيد للغاية حتى في ظل الأحمال الثقيلة: فهي قادرة على التعامل مع عشرات الملايين من الأحداث وجيجابايت من بيانات السجل دون أي خلل، وهو أمر ضروري عندما تريد الاستمرار في التقاط المعلومات أثناء تشغيل النظام بالكامل أو في حالة حدوث عطل متقطع يصعب إعادة إنتاجه.

تتيح لك أداة مراقبة العمليات تسجيل النشاط مباشرةً في ملف بتنسيق سجل أصلي يحفظ جميع التفاصيل لتحميلها لاحقًا في نسخة أخرى من الأداة. يُعد هذا مفيدًا للغاية في بيئات التحليل الجنائي أو الدعم الفني: حيث يمكنك رصد المشكلة على جهاز المستخدم وتحليل النتائج لاحقًا على جهازك.

تتضمن الواجهة أعمدة قابلة للتخصيص والتمرير لأي خاصية من خصائص الحدث تقريبًا. كما يمكن إنشاء عوامل تصفية بناءً على أي حقل، حتى تلك التي لم يتم تكوينها كأعمدة مرئية، مما يوفر مستوى عالٍ من التخصيص لتحديد ما تحتاج إلى رؤيته بدقة.

من بين الأدوات المساعدة، تبرز شجرة العمليات ، التي توضح العلاقة بين جميع العمليات الموجودة في التتبع؛ وتلميحات العملية ومعلومات التفاصيل، والتي تسمح بعرض حقول واسعة في نوافذ منبثقة دون إغراق العرض الرئيسي؛ وبحث سجل قابل للإلغاء لتحديد سلاسل محددة دون حظر الواجهة.

يتضمن برنامج مراقبة العمليات أيضًا وضع تسجيل وقت بدء التشغيل ، حيث يلتقط العمليات منذ المراحل الأولى لبدء تشغيل نظام ويندوز. بالنسبة لمن يقومون باستكشاف أخطاء بدء التشغيل وإصلاحها، أو تشخيص أعطال التطبيقات ، أو البحث عن البرامج الضارة، غالبًا ما يصبح برنامج مراقبة العمليات أداة لا غنى عنها في مجموعة أدواتهم.

مستكشف العمليات ومراقب العمليات في التحليل الجنائي واكتشاف البرامج الضارة

تُعدّ أدوات Sysinternals مفيدة للغاية عندما نشتبه في اختراق نظام ما ونرغب في معرفة العمليات التي يستخدمها البرنامج الخبيث وكيفية تفاعله مع النظام . لا يقتصر الأمر دائمًا على جمع الأدلة للمحاكمة؛ ففي كثير من الأحيان نرغب فقط في فهم ما يحدث على الجهاز فورًا حتى نتمكن من التصرف بسرعة.

تتمثل الخطوة الأولى عادةً في التأكد من تثبيت حزمة Sysinternals أو إمكانية الوصول إليها، إما عن طريق التنزيل المحلي أو باستخدام Sysinternals Live. بمجرد توفرها، ستجد ملفات تنفيذية مثل Process Explorer (procexp.exe) وProcess Monitor (procmon.exe) في المجلد المناسب، جاهزة للتشغيل دون الحاجة إلى عمليات تثبيت معقدة.

باستخدام برنامج Process Explorer، يمكنك رؤية جميع العمليات والخيوط النشطة، واستخدامها لوحدة المعالجة المركزية والذاكرة، ومعرف العملية (PID)، ووصفها، والعمليات الأخرى المرتبطة بها . إذا كنت تشك في وجود إصابة، فستلاحظ غالبًا علامات واضحة: عمليات بأسماء غريبة، أو مواقع غير معتادة، أو ملفات تنفيذية غير موقّعة، أو عمليات تعتمد على عمليات أصلية مشبوهة.

في سياق التحليل الجنائي الرقمي، يُعدّ برنامج Process Explorer أحد أهم أدوات Sysinternals. على سبيل المثال، يمكنك تحليل عملية محددة، كعملية إضافة متصفح (كان Flash هدفًا شائعًا للهجمات في السابق)، والتي تشك في اختراقها. عند فتح خصائصها، ستظهر لك لوحة تحتوي على أقسام معلومات متعددة : مسار الملف التنفيذي، وأوامر بدء التشغيل، واستهلاك الموارد، والوحدات النمطية المُحمّلة، والأذونات، وغير ذلك.

من علامة تبويب الأذونات، يمكنك التحقق من الأشخاص الذين لديهم حق الوصول إلى هذه العملية . إذا رأيت، بالإضافة إلى الحسابات المتوقعة (النظام، المستخدم المحلي، الخدمات القياسية)، حسابات غير معروفة أو غير معتادة، فقد يكون ذلك دليلاً على التلاعب أو استمرار وجود خبيث.

ومن الميزات الرئيسية الأخرى علامة تبويب "السلاسل النصية"، التي تتيح لك استخراج جميع سلاسل ASCII المضمنة في العملية . قد تشمل هذه السلاسل تعليقات المطورين، ومسارات الملفات، وعناوين مواقع الويب، والأوامر، ورسائل الخطأ، وبيانات أخرى مفيدة جدًا لتحليل سلوك الملف الثنائي المُحلل.

يُكمّل برنامج مراقبة العمليات هذا التحليل، إذ يُتيح لك رؤية كل عملية يُجريها البرنامج على الملفات، وسجل النظام، والشبكة، بتفصيل دقيق . يمكنك تصفية التتبع للتركيز على العملية المشبوهة، ومراقبة المفاتيح التي تتعامل معها، والملفات التي تقرأها أو تكتبها، والأخطاء التي تُرجعها. غالبًا ما يُوفر الجمع بين الأداتين رؤية واضحة كافية لتحديد أسلوب الهجوم أو طريقة استمرار البرمجيات الخبيثة.

شرح مفصل لبرنامج Process Explorer: التثبيت والاستخدام والرموز

تثبيت برنامج Process Explorer سهل للغاية: ما عليك سوى تشغيل ملف procexp.exe . كونه برنامجًا محمولًا، فهو لا يتطلب معالج تثبيت ولا يُجري أي تعديلات جوهرية على نظامك. يشرح ملف المساعدة المدمج الخيارات وأنماط الاستخدام بتفصيل وافٍ.

إذا واجهت شكوكًا أو مشاكل مع برنامج Process Explorer، فإن مايكروسوفت تحتفظ بقسم خاص على منصة الأسئلة والأجوبة (Microsoft Q&A) مخصص لهذه الأداة، حيث يشارك المستخدمون والخبراء الآخرون الحلول والنصائح والتجارب الواقعية مع سيناريوهات استخدام مختلفة.

للاستفادة القصوى من معلومات تصحيح الأخطاء، يمكن لبرنامج Process Explorer استخدام رموز التصحيح . عند تكوين مسار ملف DBGHELP.DLL وخادم الرموز (على سبيل المثال، خادم Microsoft العام)، من المهم أن يحتوي المجلد الذي يضم ملف DBGHELP.DLL أيضًا على ملف SYMSRV.DLL، وهو المكتبة التي تتيح الوصول إلى تلك الخوادم.

توضح وثائق SymSrv بمزيد من التفصيل كيفية تكوين مسارات الرموز هذه وكيفية العمل مع خوادم الرموز. تعمل الرموز المُكوّنة بشكل صحيح على تحسين جودة مكدسات الاستدعاءات والمعلومات الداخلية المعروضة حول العمليات وملفات DLL بشكل كبير.

يتم تحديث برنامج Process Explorer بشكل متكرر نسبيًا. في الإصدارات الحديثة، مثل الإصدار 16.43، يحافظ البرنامج على توافقه مع نظام التشغيل Windows 8.1 والإصدارات الأحدث على أجهزة المستخدمين ، ومع نظام التشغيل Windows Server 2012 والإصدارات الأحدث على الخوادم. وهذا ما يجعله أداة متعددة الاستخدامات ومناسبة للبيئات المختلطة التي تضم إصدارات مختلفة من نظام التشغيل Windows.

برنامج مراقبة العمليات بالتفصيل: التصفية، والأعمدة، وسيناريوهات الاستخدام

يُوزَّع برنامج مراقبة العمليات أيضًا كملف تنفيذي مستقل. وبمجرد تشغيله، يبدأ في التقاط الأحداث على الفور تقريبًا، لذا يُنصح بإعداد المرشحات مبكرًا لتجنب تراكم كميات هائلة من البيانات يصعب التعامل معها.

يمثل كل صف في العرض الرئيسي حدثًا: ما هي العملية التي نشأت منه، وفي أي وقت، وما هي العملية التي قام بها (قراءة الملف، وكتابة السجل، وإنشاء العملية، وما إلى ذلك)، وعلى أي مسار، وما هي النتيجة التي أعادها، وتفاصيل إضافية، مثل المعلمات المحددة لتلك المكالمة.

تعرض الأداة معلومات وافرة لكل حدث: اسم العملية، والوقت المحدد، ومسار المورد بالكامل، والنتيجة، وبيانات محددة . يتيح هذا الثراء في المعلومات تشخيص كل شيء بدءًا من أخطاء الأذونات وصولًا إلى المسارات غير المُهيأة بشكل صحيح أو ملفات DLL الموجودة في غير مكانها.

يُدمج برنامج Procmon مجموعة من المرشحات المتقدمة التي يمكنك تعريفها باستخدام أي حقل تقريبًا، مع دمج الشروط باستخدام عوامل التشغيل المنطقية. وهذا يُتيح، على سبيل المثال، التركيز فقط على أخطاء رفض الوصول ، أو عمليات الكتابة أحادية العملية، أو قراءة مفتاح تسجيل مُحدد.

في حالات البرامج الضارة، يساعدك برنامج مراقبة العمليات على معرفة ما يفعله البرنامج المشبوه بدقة : أين يحاول الكتابة، وما هي مفاتيح التسجيل التي يستخدمها للبقاء نشطًا عند بدء التشغيل، وما هي الملفات التي يقوم بتنزيلها أو تعديلها، وما هي الأخطاء التي يتسبب بها في النظام. يتم تسجيل كل هذا ويمكن حفظه لتحليله لاحقًا أو لتوثيق حادثة أمنية.

كميزة إضافية، توفر مكدسات الخيوط المدعومة بالرموز سياقًا حول الوظيفة المحددة لكل وحدة نمطية التي نشأت منها كل حدث، مما يسمح لك بالوصول إلى مستوى دقيق للغاية من التفاصيل عند التحقيق في السلوك الداخلي لتطبيق أو مكون نظام.

أدوات أخرى من Sysinternals متعلقة بالعمليات والأنظمة

على الرغم من أن برنامج Process Explorer وبرنامج Process Monitor هما الأبرز لتحليل العمليات في نظام التشغيل Windows، إلا أن مجموعة Sysinternals تتضمن العديد من الأدوات المساعدة الأخرى التي تكمل تلك الرؤية وتساعد في التشخيص والأمان والأداء.

Handle هو أداة لعرض معلومات النظام التي يستخدمها كل برنامج، تعمل عبر سطر الأوامر. وهي نسخة سطر الأوامر من معلومات النظام التي تراها في Process Explorer، وهي مفيدة جدًا لكتابة البرامج النصية وأتمتة العمليات.

يعرض ListDLLs أيضًا، من سطر الأوامر، ملفات DLL التي قام كل عملية بتحميلها، وهو أمر مفيد لاكتشاف الوحدات النمطية المحقونة أو المكتبات غير المتوقعة داخل ملف تنفيذي شرعي.

تتيح لك أدوات PsList و PsKill ، وهي جزء من مجموعة أدوات PsTools، عرض وإنهاء العمليات محليًا وعن بُعد. تُعد أدوات سطر الأوامر هذه ضرورية للمسؤولين الذين يعملون من وحدة التحكم.

Sysmon (مراقب النظام) هي خدمة نظام، بمجرد تثبيتها، تظل نشطة بعد إعادة التشغيل، وهي مخصصة لمراقبة وتسجيل نشاط النظام بالتفصيل . تسجل إنشاء العمليات، واتصالات الشبكة، وتعديلات الملفات، والوصول إلى الذاكرة بين العمليات، وإنشاء سلاسل العمليات عن بُعد، وغير ذلك الكثير، كل ذلك مع التكامل مع سجلات أحداث Windows.

لعرض جميع أنشطة منافذ الشبكة، يعرض برنامج TcpView اتصالات TCP وUDP المفتوحة في الوقت الفعلي، مع توضيح العناوين المحلية والبعيدة، وحالة الاتصال، وفي الإصدارات الحديثة من نظام التشغيل Windows، اسم العملية المالكة للاتصال . إنه أشبه بنسخة رسومية محسّنة من برنامج Netstat، وهو ممتاز لاكتشاف أنشطة الشبكة المشبوهة الناتجة عن البرامج الضارة أو البرامج غير المصرح بها.

التشغيل التلقائي والأدوات المساعدة الرئيسية الأخرى لمجموعة Sysinternals

على الرغم من أن التركيز هنا ينصب على العمليات، إلا أنه لا يمكن الحديث عن Sysinternals دون ذكر الأدوات التي، وإن لم تكن أدوات عمليات خالصة، إلا أنها ضرورية للتحكم في ما يتم تشغيله على نظام التشغيل Windows وكيفية تشغيله.

يُعدّ برنامج Autoruns المرجع الأمثل لمراجعة وإدارة كل ما يبدأ تلقائيًا مع النظام أو جلسة المستخدم. وهو يتجاوز بكثير وظيفة MSConfig، إذ يعرض البرامج في مجلدات بدء التشغيل، ومفاتيح التسجيل Run وRunOnce، وخدمات بدء التشغيل التلقائي، وامتدادات واجهة المستخدم الرسومية لمستكشف الملفات، وأشرطة الأدوات، وعناصر مساعدة المتصفح، وإشعارات تسجيل الدخول إلى ويندوز، وغير ذلك الكثير.

تُنظَّم المعلومات في علامات تبويب موضوعية (المكتب، الطابعات، تسجيل الدخول إلى ويندوز، إلخ)، مما يسمح لك برؤية مصدر كل إدخال تشغيل تلقائي . يتضمن كل سطر حقولًا مثل اسم الإدخال (إدخال التشغيل التلقائي)، ووصفًا موجزًا، والناشر (الناشر)، ومسار الصورة (مسار الصورة)، وتاريخ ووقت التثبيت (الطابع الزمني)، ومؤشر فحص VirusTotal.

في واجهة البرنامج، تشير الإدخالات الوردية عادةً إلى ملفات بدون توقيع رقمي أو بتوقيع لم يتم التحقق منه، وقد يعود ذلك إلى شهادات منتهية الصلاحية، أو برامج قديمة جدًا، أو ملفات تالفة، أو تعديلات مشبوهة. أما الإدخالات الصفراء فتشير إلى ملفات لم تعد موجودة أو لا يمكن للبرنامج الوصول إليها ، حتى وإن استمر النظام في محاولة تحميلها عند بدء التشغيل. في هذه الحالات، يُنصح بمراجعة الإدخال بعناية قبل حذف أي شيء، وكإجراء احترازي، يُفضل عادةً إلغاء تحديد الإدخال بدلاً من حذفه.

كما يتيح لك برنامج Autoruns مقارنة عمليات الالتقاط التي تم إجراؤها في أوقات مختلفة لمعرفة ما تغير بين تحليل وآخر، وهو أمر مفيد للغاية لاكتشاف إدخالات بدء التشغيل الجديدة التي أضافها برنامج أو برامج ضارة.

تشمل أدوات Sysinternals الشائعة الأخرى AccessEnum (لسرد أذونات الملفات والمجلدات ومفاتيح التسجيل التي تختلف عن المجلد الأصل)، و BGInfo (الذي يعرض بيانات النظام التقنية مباشرة على خلفية سطح المكتب)، و Contig (لإلغاء تجزئة ملفات معينة دون المساس بالقرص بأكمله)، و Desktops (أسطح مكتب افتراضية أيضًا في الإصدارات القديمة من Windows)، و Disk2vhd (لتحويل الأقراص الفعلية إلى ملفات VHD للأجهزة الافتراضية)، و ZoomIt ، الذي يستخدم على نطاق واسع في العروض التقديمية التقنية للتكبير والرسم على الشاشة باستخدام اختصارات لوحة المفاتيح.

في مجال الإدارة المتقدمة، توفر PsTools مجموعة من أدوات سطر الأوامر للإدارة المحلية والبعيدة: تغيير كلمات المرور، والتحقق من المستخدمين المسجلين، وإدارة العمليات والخدمات، وتنفيذ الأوامر عن بُعد (PsExec)، وإيقاف تشغيل النظام. وتُعدّ العديد من هذه الأدوات ضرورية في بيئات الشركات التي تُدار فيها أجهزة كمبيوتر عديدة من سطر الأوامر.

التطورات الأخيرة في بيئة Sysinternals

تواصل مايكروسوفت صيانة وتطوير برنامج Sysinternals من خلال تحديثات منتظمة. وقد أُدخلت مؤخراً تحسينات كبيرة على العديد من الأدوات التي تؤثر بشكل مباشر أو غير مباشر على تحليل العمليات والأنظمة.

على سبيل المثال، وصل برنامج ZoomIt إلى الإصدار 10.0 ، مضيفًا محرر مقاطع فيديو لقص التسجيلات قبل حفظها، ودعمًا لالتقاط صوت النظام. كما تم دمج ZoomIt في Microsoft PowerToys، مع بقائه أداة مستقلة على Sysinternals، وأصبح مفتوح المصدر.

في مجال المراقبة، استمر Sysmon لنظام Linux في التطور، حيث قام بدمج أحداث مثل EbpfEvent لمراقبة أحمال برنامج eBPF، مما أدى إلى توسيع نطاق تركيز Sysinternals ليشمل بيئات Linux إلى جانب Windows، وهو أمر مثير للاهتمام بشكل خاص للفرق المختلطة.

وتشمل التحديثات البارزة الأخرى Coreinfo بواجهة رسومية لعرض طوبولوجيا وحدة المعالجة المركزية وذاكرة NUMA وخصائص المعالج؛ وRDCMan مع تحسينات أمنية ودعم سطح المكتب البعيد الحديث؛ و Ctrl2Cap ، وهي أداة تساعد في إعادة تعيين مفتاح Caps Lock إلى Ctrl في نظامي التشغيل Windows 10 و11 دون الحاجة إلى برامج تشغيل إضافية.

يوجد أيضًا ملحق Azure DevOps الذي يدمج أدوات Sysinternals في مسارات البناء والنشر، مما يسهل استكشاف مشكلات البناء والإصدار وإصلاحها مباشرة في بيئات CI/CD، بالإضافة إلى إصدارات ProcDump وSysmon المتوافقة مع Linux والتي تدعم بنى مثل ARM64.

وبالنظر إلى هذا النظام البيئي بأكمله، فإنه بمجرد أن تعتاد على العمل مع Sysinternals، فإنها تصبح رفيقة لا تنفصل عن Task Manager و PowerToys ، خاصة إذا كنت مستخدمًا متقدمًا أو تدير أجهزة كمبيوتر متعددة.

يُمكّنك الجمع بين برنامجَي Process Explorer وProcess Monitor، إلى جانب أدوات مثل Autoruns وSysmon وTcpView، من الانتقال من مرحلة "هناك خطأ ما ولا أعرف ما هو" إلى رؤية دقيقة للغاية للعمليات الجارية، وكيفية تفاعلها مع نظام التشغيل Windows، والموارد التي تصل إليها، والآثار التي تُخلّفها . إن فهم هذه الأدوات وإتقانها لا يساعدك فقط في حل مشكلات محددة، بل يُحسّن أيضًا قدرتك على تحسين الخدمات والأداء ، والحفاظ على أنظمتك تحت السيطرة بشكل يومي.