Sysinternals zur professionellen Steuerung von Prozessen in Windows.

Informatec Digital » Ressourcen » Sysinternals zur professionellen Steuerung von Prozessen in Windows.

Wenn Sie Windows schon länger nutzen und feststellen, dass der Task-Manager nicht ausreicht, um die Vorgänge in Ihrem System vollständig zu verstehen, ist Sysinternals genau das Richtige für Sie. Diese Sammlung fortschrittlicher Microsoft-Tools ermöglicht es Ihnen, detailliert zu sehen, welche Prozesse ausgeführt werden, auf welche Dateien sie zugreifen, welche Registrierungsschlüssel sie ändern und sogar welche Netzwerkverbindungen sie öffnen.

Diese Tools existierten schon lange vor ihrer Einführung durch Microsoft, und obwohl viele unbemerkt bleiben, sind sie ein wahres Schweizer Taschenmesser für die Analyse von Windows-Prozessen, die Fehlererkennung und die Malware-Aufspürung . Wir werden uns detailliert ansehen, wie man Process Explorer, Process Monitor und die anderen prozessorientierten Sysinternals-Dienstprogramme optimal nutzt – verständlich erklärt und anhand praktischer Beispiele.

Was ist Sysinternals und warum ist es so nützlich für die Prozessanalyse?

Sysinternals ist ein Projekt, das 1996 von Mark Russinovich und Bryce Cogswell ins Leben gerufen wurde , um kleine, fortschrittliche Diagnosetools bereitzustellen, die sich anfangs auf Windows NT, Windows 2000 und Windows XP konzentrierten. Die ursprüngliche Website hieß NTinternals und war darauf ausgelegt, die Funktionsweise des Betriebssystems zu veranschaulichen, damit Administratoren und Entwickler verstehen konnten, was „unter der Haube“ vor sich ging.

Zehn Jahre später, im Jahr 2006, erwarb Microsoft das Projekt und integrierte es in seine eigene Website: Seitdem leitet sysinternals.com auf einen offiziellen Microsoft-Bereich weiter . Der Grundgedanke ist jedoch erhalten geblieben: kleine, ressourcenschonende und meist portable Hilfsprogramme (einfach kopieren, ausführen, fertig), die kontinuierlich aktualisiert, erweitert und verbessert werden.

Diese Tools sind primär für Systemadministratoren, IT-Fachleute und Entwickler konzipiert , aber auch fortgeschrittene Benutzer können davon stark profitieren. Sie ermöglichen es, sehr spezifische Aspekte von Windows zu verstehen, zu konfigurieren und zu verwalten: von den beim Systemstart ausgeführten Prozessen über die CPU-Auslastung bis hin zu den geladenen DLLs und den verwendeten Netzwerkports.

Die vollständige Suite umfasst über 70 Dienstprogramme und ist auch im Microsoft Store als Sysinternals Suite erhältlich . Bei der Installation aus dem Store erhalten Sie kein einzelnes App-Symbol, sondern eine Sammlung von ausführbaren Dateien und Dokumentation. Diese können Sie starten, indem Sie nach dem Namen des jeweiligen Tools suchen oder zu dessen Speicherort navigieren.

Sysinternals Live: Tools ausführen, ohne sie zu installieren

Einer der Hauptvorteile dieser Familie von Dienstprogrammen ist Sysinternals Live , ein Dienst, mit dem Sie die Tools direkt aus dem Netzwerk ausführen können, ohne manuell etwas herunterzuladen und auf Ihrer Festplatte zu entpacken.

Um es im Datei-Explorer zu verwenden, geben Sie einfach den Pfad des Tools über die Sysinternals Live-Domäne ein, zum Beispiel: live.sysinternals.com/<toolname> oder die UNC-Route \\live.sysinternals.com\tools\<toolname>Auf diese Weise öffnet Windows die ausführbare Datei direkt von der Microsoft-Freigabe.

Falls Sie die Konsole bevorzugen, können Sie jedes beliebige Hilfsprogramm mit einem ähnlichen Pfad starten: \\live.sysinternals.com\tools\<toolname>Dadurch entfällt die Verwaltung lokaler Versionen und es wird sichergestellt, dass Sie immer die neueste Version jedes Tools verwenden.

Um alle verfügbaren Tools zu entdecken, können Sie https://live.sysinternals.com/ in Ihrem Browser oder Windows Explorer öffnen . Dort finden Sie das vollständige Verzeichnis der Sysinternals Live-Tools, die sofort einsatzbereit sind.

Prozess-Explorer: Der „leistungsstärkere Aufgabenmanager“

Der Process Explorer ist wohl das bekannteste Tool von Sysinternals, wenn es um Windows-Prozesse geht . Er zeigt wesentlich detaillierter als der Task-Manager an, welche Prozesse auf dem System laufen, wie sie interagieren und welche Ressourcen sie zu einem bestimmten Zeitpunkt nutzen, um die Systemleistung zu optimieren.

Die Benutzeroberfläche des Prozess-Explorers ist in zwei Hauptfenster unterteilt. Oben wird stets eine Liste aller aktiven Prozesse angezeigt, üblicherweise in einer Baumstruktur, die übergeordnete und untergeordnete Prozesse sowie Daten wie Programmbeschreibung, Firma, Prozess-ID (PID), CPU- und Speicherauslastung usw. darstellt. Auch die Namen der Benutzerkonten, denen die einzelnen Prozesse gehören, werden angezeigt.

Das untere Fenster kann in zwei Modi betrieben werden: im Handle-Modus und im DLL-Modus. Im Handle-Modus werden die vom ausgewählten Prozess geöffneten Handles (Dateien, Registrierungsschlüssel, Systemobjekte usw.) angezeigt. Im DLL-Modus werden die vom Prozess geladenen dynamischen Linkbibliotheken und speicherabgebildeten Dateien dargestellt . Dies ist entscheidend, um festzustellen, welche Datei eine Anwendung sperrt oder welches verdächtige Modul in einen legitimen Prozess eingeschleust wurde.

Der Prozess-Explorer verfügt außerdem über eine leistungsstarke Suchfunktion, mit der Sie den Prozess ermitteln können, der eine bestimmte Datei oder DLL geöffnet hält . Geben Sie einfach den Namen oder einen Teil des Namens ein und erhalten Sie sofort eine Liste der beteiligten Prozesse – besonders nützlich, wenn Windows das Löschen einer Datei mit der Begründung „Sie wird verwendet“ verhindert und Sie wissen möchten, welcher Prozess sie belegt.

Eine weitere Stärke ist die Überprüfung digitaler Signaturen . Mithilfe der Option „Überprüfen“ können Sie feststellen, ob die in den Speicher geladenen ausführbaren Dateien und DLLs über eine gültige Signatur des Herstellers verfügen. Dies hilft, legitime Prozesse von potenziell manipulierten oder unsignierten Binärdateien zu unterscheiden, was bei Schadsoftware oder älteren, nicht mehr gewarteten Programmen sehr häufig vorkommt.

Das Tool verwendet außerdem Farben, um Prozesse visuell zu charakterisieren : Systemdienste, Prozesse im Kontext des Windows Explorers, Softwarepakete usw. Ein kurzer Blick auf die Spalte mit Namen und Farben genügt, um zu erkennen, wie die einzelnen Elemente aussehen, ohne sich zunächst mit zu vielen Details auseinandersetzen zu müssen.

Darüber hinaus bietet der Prozess-Explorer eine Zeitleistenansicht, die grafisch darstellt, wann jeder Prozess gestartet wurde . Bei der Analyse von Sicherheitsvorfällen oder anomalem Verhalten hilft diese Funktion dabei, den Beginn verdächtiger Aktivitäten genau zu bestimmen und deren Zusammenhang mit anderen Prozessen zu ermitteln, die im selben Zeitraum gestartet wurden.

Das Dienstprogramm eignet sich ideal zum Aufspüren von DLL-Versionsproblemen, Handle-Leaks (Handles, die nie freigegeben werden) und allgemein zum besseren Verständnis der internen Funktionsweise von Windows und der tatsächlichen Aktivitäten Ihrer Anwendungen.

Prozessmonitor: Echtzeit-Röntgenaufnahme von Dateien, Protokollen und Prozessen

Process Monitor (Procmon) ist eine weitere wichtige Komponente des Sysinternals-Ökosystems. Es handelt sich um ein fortschrittliches Überwachungstool, das sämtliche Dateisystemaktivitäten, Windows-Registrierungsaktivitäten sowie laufende Prozesse oder Threads in Echtzeit anzeigt.

Es vereint und übertrifft die Funktionen der älteren Dienstprogramme Filemon und Regmon und bietet zahlreiche Verbesserungen für eine umfassende Nachverfolgbarkeit ohne Informationsverlust . Zu den bemerkenswertesten Merkmalen zählt ein hochflexibles und nicht-destruktives Filtersystem: Filter lassen sich spontan anwenden, anpassen und entfernen, ohne dass bereits erfasste Ereignisse verloren gehen.

Jedes protokollierte Ereignis enthält umfassende Eigenschaften, darunter Sitzungs-IDs, Benutzernamen, Prozessabbildpfad , die Befehlszeile, von der aus es gestartet wurde, Prozess- und Thread-IDs und vieles mehr. Für jeden Vorgang können Thread-Stacks mit integrierter Symbolunterstützung erfasst werden, was die Ermittlung der Ursache eines bestimmten Aufrufs erleichtert.

Die interne Protokollierungsarchitektur ist so konzipiert, dass sie auch unter hoher Last sehr gut skaliert: Sie ist in der Lage, zig Millionen Ereignisse und Gigabytes an Protokolldaten ohne Probleme zu verarbeiten, was unerlässlich ist, wenn man während eines vollständigen Systemstarts oder im Falle eines sporadischen Fehlers, der schwer zu reproduzieren ist, weiterhin Informationen erfassen möchte.

Process Monitor ermöglicht es Ihnen, Aktivitäten direkt in einer Datei im nativen Protokollformat aufzuzeichnen , wobei alle Details für das spätere Laden in eine andere Instanz des Tools erhalten bleiben. Dies ist besonders nützlich in forensischen Umgebungen oder im technischen Support: Sie erfassen das Problem auf dem Rechner des Benutzers und analysieren die Ergebnisse später auf Ihrem eigenen Computer.

Die Benutzeroberfläche umfasst konfigurierbare und scrollbare Spalten für nahezu jede Ereigniseigenschaft. Filter lassen sich zudem auf Basis beliebiger Felder erstellen, selbst solcher, die nicht als sichtbare Spalten konfiguriert sind. Dies bietet umfangreiche Anpassungsmöglichkeiten, um genau die benötigten Informationen anzuzeigen.

Unter den Hilfswerkzeugen sticht der Prozessbaum hervor , der die Beziehungen zwischen allen in einem Trace vorhandenen Prozessen anzeigt; die Prozess- Tooltips und Detailinformationen, die es ermöglichen, umfangreiche Felder in Popup-Fenstern anzuzeigen, ohne die Hauptansicht zu überladen; und eine abbrechbare Protokollsuche, um bestimmte Zeichenketten zu finden, ohne die Benutzeroberfläche zu blockieren.

Process Monitor bietet außerdem einen Bootzeit-Protokollierungsmodus , der Vorgänge ab der Anfangsphase des Windows-Startvorgangs aufzeichnet. Für Anwender, die Bootprobleme beheben, Anwendungsfehler diagnostizieren oder nach Malware suchen, ist Process Monitor oft ein unverzichtbares Werkzeug.

Process Explorer und Process Monitor in der forensischen Analyse und Malware-Jagd

Die Tools von Sysinternals sind besonders nützlich, wenn wir den Verdacht haben, dass ein System kompromittiert wurde, und herausfinden möchten, welche Prozesse die Schadsoftware nutzt und wie diese mit dem System interagieren . Es geht nicht immer darum, Beweise für ein Gerichtsverfahren zu sammeln; oft wollen wir einfach nur sofort verstehen, was auf einem Rechner vor sich geht, um schnell handeln zu können.

Im ersten Schritt stellen Sie in der Regel sicher, dass die Sysinternals-Suite installiert oder zugänglich ist, entweder durch einen lokalen Download oder über Sysinternals Live. Sobald die Suite verfügbar ist, finden Sie ausführbare Dateien wie Process Explorer (procexp.exe) und Process Monitor (procmon.exe) im entsprechenden Ordner, die ohne komplizierte Installationen gestartet werden können.

Mit dem Prozess-Explorer können Sie alle aktiven Prozesse und Threads, deren CPU- und Speicherauslastung, PID, Beschreibung und weitere zugehörige Prozesse einsehen . Bei Verdacht auf eine Infektion finden Sie oft eindeutige Anzeichen: Prozesse mit ungewöhnlichen Namen, ungewöhnlichen Speicherorten, nicht signierte ausführbare Dateien oder Prozesse, die von verdächtigen übergeordneten Prozessen abhängig sind.

Im forensischen Kontext ist der Process Explorer eines der wertvollsten Werkzeuge von Sysinternals. Beispielsweise können Sie einen bestimmten Prozess analysieren, etwa den eines Browser-Plugins (Flash war einst ein häufiges Angriffsziel), der möglicherweise kompromittiert wurde. Öffnen Sie die Eigenschaften des Prozesses, um ein Fenster mit zahlreichen Informationsabschnitten anzuzeigen : Pfad zur ausführbaren Datei, Startbefehle, Ressourcenverbrauch, geladene Module, Berechtigungen usw.

Im Reiter „Berechtigungen“ können Sie überprüfen, wer Zugriff auf diesen Prozess hat . Wenn Sie neben den erwarteten Konten (System, lokaler Benutzer, Standarddienste) unbekannte oder ungewöhnliche Konten sehen, könnte dies ein Hinweis auf Manipulation oder böswillige Persistenz sein.

Ein weiteres wichtiges Feature ist die Registerkarte „Strings“, mit der Sie alle im Prozess eingebetteten ASCII-Strings extrahieren können . Dazu gehören beispielsweise Kommentare der Entwickler, Dateipfade, Webadressen, Befehle, Fehlermeldungen und andere Daten, die für die Profilierung des Verhaltens der analysierten Binärdatei sehr nützlich sind.

Process Monitor ergänzt diese Analyse, indem er Ihnen detaillierte Einblicke in alle Operationen des Prozesses an Dateien, der Registry und dem Netzwerk ermöglicht . Sie können die Ablaufverfolgung filtern, um sich auf den verdächtigen Prozess zu konzentrieren und zu beobachten, welche Schlüssel er verwendet, welche Dateien er liest oder schreibt und welche Fehler er zurückgibt. Oftmals liefert die Kombination beider Tools ein ausreichend klares Bild, um den Angriffsvektor oder die Persistenzmethode der Malware zu identifizieren.

Process Explorer im Detail: Installation, Verwendung und Symbole

Die Installation von Process Explorer ist unkompliziert: Führen Sie einfach die Datei procexp.exe aus . Da es sich um ein portables Programm handelt, ist kein Installationsassistent erforderlich und es werden keine schwerwiegenden Systemänderungen vorgenommen. Die integrierte Hilfedatei erklärt die Optionen und Anwendungsmodi ausführlich.

Sollten Sie Zweifel oder Probleme mit dem Process Explorer haben, bietet Microsoft auf seiner Plattform „Fragen und Antworten“ (Microsoft Q&A) einen speziellen Bereich für dieses Tool an, in dem andere Benutzer und Experten Lösungen, Tipps und Erfahrungen aus der Praxis mit verschiedenen Anwendungsszenarien austauschen.

Um die Debugging-Informationen optimal zu nutzen, kann der Prozess-Explorer Debug-Symbole verwenden . Wenn Sie den Pfad zu DBGHELP.DLL und dem Symbolserver (z. B. dem öffentlichen Microsoft-Server) konfigurieren, ist es wichtig, dass sich im selben Ordner wie DBGHELP.DLL auch die Datei SYMSRV.DLL befindet. Diese Bibliothek ermöglicht den Zugriff auf die Server.

Die SymSrv-Dokumentation erläutert detaillierter, wie diese Symbolpfade konfiguriert und wie Symbolserver verwendet werden. Korrekt konfigurierte Symbole verbessern die Qualität von Aufrufstapeln und die angezeigten internen Informationen zu Prozessen und DLLs erheblich.

Process Explorer wird relativ häufig aktualisiert. In neueren Versionen, wie beispielsweise Version 16.43, ist er clientseitig mit Windows 8.1 und höher sowie serverseitig mit Windows Server 2012 und höher kompatibel. Dadurch eignet er sich als vielseitiges Werkzeug für heterogene Umgebungen mit verschiedenen Windows-Versionen.

Prozessmonitor im Detail: Filterung, Spalten und Anwendungsszenarien

Process Monitor wird auch als eigenständige ausführbare Datei bereitgestellt. Nach dem Start beginnt es nahezu sofort mit der Ereigniserfassung. Daher empfiehlt es sich, frühzeitig Filter einzurichten, um eine unüberschaubare Datenmenge zu vermeiden.

Jede Zeile in der Hauptansicht stellt ein Ereignis dar: welcher Prozess es ausgelöst hat, zu welchem ​​Zeitpunkt, welche Operation er durchgeführt hat (Dateilesen, Registry-Schreiben, Prozesserstellung usw.), auf welchem ​​Pfad, welches Ergebnis er zurückgegeben hat und zusätzliche Details wie die spezifischen Parameter dieses Aufrufs.

Das Tool zeigt pro Ereignis eine Fülle von Informationen an: Prozessname, genaue Uhrzeit, vollständiger Ressourcenpfad, Ergebnis und spezifische Daten . Diese Detailtiefe ermöglicht die Diagnose von Problemen wie Berechtigungsfehlern, falsch konfigurierten Pfaden oder falsch platzierten DLLs.

Procmon integriert eine Reihe erweiterter Filter, die Sie anhand nahezu jedes Feldes definieren können, indem Sie Bedingungen mit logischen Operatoren kombinieren. Dadurch ist es beispielsweise möglich, sich ausschließlich auf Zugriffsverweigerungsfehler , Schreibvorgänge einzelner Prozesse oder Lesevorgänge eines bestimmten Registrierungsschlüssels zu konzentrieren.

Bei Malware-Szenarien hilft Ihnen der Prozessmonitor, genau zu sehen, was das verdächtige Programm tut : wo es versucht zu schreiben, welche Registrierungsschlüssel es verwendet, um beim Start aktiv zu bleiben, welche Dateien es herunterlädt oder ändert und welche Fehler es im System verursacht. All dies wird protokolliert und kann zur späteren Analyse oder zur Dokumentation eines Sicherheitsvorfalls gespeichert werden.

Als zusätzlicher Vorteil bieten die symbolunterstützten Thread-Stacks Kontextinformationen darüber, welche spezifische Funktion welches Moduls jedes Ereignis ausgelöst hat. Dadurch können Sie bei der Untersuchung des internen Verhaltens einer Anwendung oder Systemkomponente ein sehr hohes Maß an Detailgenauigkeit erreichen.

Weitere Sysinternals-Tools im Zusammenhang mit Prozessen und Systemen

Obwohl Process Explorer und Process Monitor die wichtigsten Tools zur Analyse von Prozessen in Windows sind, umfasst die Sysinternals-Suite viele weitere Hilfsprogramme, die diese Ansicht ergänzen und bei Diagnose, Sicherheit und Leistung helfen.

Handle ist ein Befehlszeilenprogramm, mit dem Sie die von den einzelnen Prozessen verwendeten Systemdateien und -objekte auflisten können. Es ist die Konsolenversion der Handle-Informationen, die Sie im Prozess-Explorer sehen, und sehr nützlich für Skripte und Automatisierung.

ListDLLs zeigt außerdem über die Kommandozeile an, welche DLLs jeder Prozess geladen hat. Dies ist nützlich, um injizierte Module oder unerwartete Bibliotheken in einer legitimen ausführbaren Datei zu erkennen.

PsList und PsKill , Bestandteile der PsTools-Suite, ermöglichen das Auflisten und Beenden von Prozessen sowohl lokal als auch remote. Solche Befehlszeilentools sind für Administratoren, die an der Konsole arbeiten, unerlässlich.

Sysmon (Systemmonitor) ist ein Systemdienst, der nach der Installation auch nach Neustarts aktiv bleibt und die Systemaktivitäten detailliert überwacht und protokolliert . Er protokolliert Prozesserstellungen, Netzwerkverbindungen, Dateiänderungen, Speicherzugriffe zwischen Prozessen, die Erstellung von Remote-Threads und vieles mehr und integriert sich dabei in die Windows-Ereignisprotokolle.

Um die gesamte Netzwerkportaktivität anzuzeigen, listet TcpView offene TCP- und UDP-Verbindungen in Echtzeit auf und zeigt lokale und entfernte Adressen, den Verbindungsstatus und – in modernen Windows-Versionen – den Namen des zugehörigen Prozesses an . Es ist vergleichbar mit einer erweiterten, grafischen Version von Netstat und eignet sich hervorragend zum Erkennen verdächtiger Netzwerkaktivitäten, die durch Malware oder nicht autorisierte Software verursacht werden.

Autoruns und andere wichtige Dienstprogramme der Sysinternals-Suite

Obwohl der Schwerpunkt hier auf Prozessen liegt, kann man nicht über Sysinternals sprechen, ohne Tools zu erwähnen, die zwar keine reinen Prozesswerkzeuge sind, aber dennoch unerlässlich sind, um zu steuern, was unter Windows ausgeführt wird und wie.

Autoruns ist die ultimative Ressource zum Überprüfen und Verwalten aller Prozesse, die automatisch mit dem System oder der Benutzersitzung gestartet werden. Es bietet weit mehr als MSConfig: Es zeigt Programme in Autostart-Ordnern, die Registrierungsschlüssel „Run“ und „RunOnce“, automatische Startdienste, Explorer-Shell-Erweiterungen, Symbolleisten, Browser-Hilfeobjekte, Winlogon-Benachrichtigungen und vieles mehr an.

Die Informationen sind in thematische Registerkarten (Office, Drucker, Winlogon usw.) unterteilt, sodass Sie die Quelle jedes Autorun-Eintrags einsehen können . Jede Zeile enthält Felder wie den Eintragsnamen (Autorun-Eintrag), eine Kurzbeschreibung, den Herausgeber (Herausgeber), den Image-Pfad (Image-Pfad), das Datum und die Uhrzeit der Installation (Zeitstempel) sowie einen VirusTotal-Scanindikator.

In der Benutzeroberfläche entsprechen pinkfarbene Einträge in der Regel Dateien ohne digitale Signatur oder mit einer nicht verifizierbaren Signatur. Dies kann an abgelaufenen Zertifikaten, sehr alten Programmen, beschädigten Dateien oder verdächtigen Änderungen liegen. Gelbe Einträge kennzeichnen Dateien, die nicht mehr existieren oder auf die das Tool nicht zugreifen kann , obwohl das System beim Start weiterhin versucht, sie zu laden. In diesen Fällen empfiehlt es sich, den Eintrag sorgfältig zu prüfen, bevor man etwas löscht. Sicherheitshalber sollte man den Eintrag meist nur deaktivieren, anstatt ihn zu löschen.

Mit Autoruns können Sie außerdem zu verschiedenen Zeitpunkten erstellte Aufnahmen vergleichen , um zu sehen, was sich zwischen den Analysen geändert hat. Dies ist sehr nützlich, um neue Autostart-Einträge zu erkennen, die von einem Programm oder Schadsoftware hinzugefügt wurden.

Zu den weiteren beliebten Sysinternals-Tools gehören AccessEnum (zum Auflisten von Datei-, Ordner- und Registrierungsschlüsselberechtigungen, die von ihrem übergeordneten Ordner abweichen), BGInfo (das technische Systemdaten direkt auf dem Desktop-Hintergrund anzeigt), Contig (zum Defragmentieren bestimmter Dateien, ohne die gesamte Festplatte zu bearbeiten), Desktops (virtuelle Desktops, auch in älteren Windows-Versionen), Disk2vhd (zum Konvertieren physischer Festplatten in VHD-Dateien für virtuelle Maschinen) und ZoomIt , das häufig in technischen Präsentationen zum Zoomen und Zeichnen auf dem Bildschirm mit Tastenkombinationen verwendet wird.

Im Bereich der erweiterten Administration bietet PsTools eine Reihe von Kommandozeilenprogrammen für die lokale und Remote-Verwaltung: Passwortänderungen, Überprüfung angemeldeter Benutzer, Verwaltung von Prozessen und Diensten, Remote-Befehlsausführung (PsExec) und Systemherunterfahren. Viele dieser Tools sind in Unternehmensumgebungen, in denen zahlreiche Computer über die Kommandozeile verwaltet werden, unverzichtbar.

Aktuelle Entwicklungen im Sysinternals-Ökosystem

Microsoft pflegt und erweitert Sysinternals kontinuierlich durch regelmäßige Updates. Kürzlich wurden bedeutende Verbesserungen an verschiedenen Tools eingeführt, die die Prozess- und Systemanalyse direkt oder indirekt beeinflussen.

ZoomIt hat beispielsweise Version 10.0 erreicht und bietet nun einen Videoclip-Editor zum Schneiden von Aufnahmen vor dem Speichern sowie Unterstützung für die Aufnahme von Systemaudio. ZoomIt ist außerdem in Microsoft PowerToys integriert, bleibt aber weiterhin ein eigenständiges Dienstprogramm auf Sysinternals und ist Open Source geworden.

Im Bereich Monitoring wurde Sysmon für Linux kontinuierlich weiterentwickelt und integriert nun Ereignisse wie EbpfEvent zur Überwachung der eBPF-Programmlasten. Damit erweitert Sysinternals seinen Fokus über Windows hinaus auf Linux-Umgebungen, was insbesondere für gemischte Teams interessant ist.

Zu den weiteren bemerkenswerten Neuerungen gehören Coreinfo mit einer grafischen Benutzeroberfläche zur Visualisierung von CPU-Topologien, NUMA-Speicher und Prozessoreigenschaften; RDCMan mit Sicherheitsverbesserungen und moderner Remote-Desktop-Unterstützung; und Ctrl2Cap , ein Tool, mit dem die Feststelltaste in Windows 10 und 11 ohne zusätzliche Treiber auf Strg umbelegt werden kann.

Es gibt sogar eine Azure DevOps-Erweiterung , die Sysinternals-Tools in Build- und Deployment-Pipelines integriert und so die Fehlerbehebung bei Build- und Versionsproblemen direkt in CI/CD-Umgebungen erleichtert, sowie Linux-angepasste Versionen von ProcDump und Sysmon mit Unterstützung für Architekturen wie ARM64.

Zusammengenommen bedeutet dieses gesamte Ökosystem, dass Sysinternals, sobald man sich an die Arbeit mit ihnen gewöhnt hat, zu untrennbaren Begleitern des Task-Managers und von PowerToys wird , insbesondere wenn man ein fortgeschrittener Benutzer ist oder mehrere Computer verwaltet.

Die Kombination aus Process Explorer und Process Monitor sowie Tools wie Autoruns, Sysmon und TcpView ermöglicht es Ihnen, von einem unklaren Problem („Irgendetwas stimmt nicht, aber ich weiß nicht, was es ist“) zu einer präzisen Übersicht über laufende Prozesse, deren Interaktion mit Windows, die verwendeten Ressourcen und die hinterlassenen Spuren zu gelangen . Das Verständnis und die Beherrschung dieser Tools helfen Ihnen nicht nur bei der Lösung spezifischer Probleme, sondern verbessern auch Ihre Fähigkeit, Dienste und Leistung zu optimieren und Ihre Systeme im täglichen Betrieb unter Kontrolle zu halten.