- Το Sysinternals προσφέρει προηγμένα βοηθητικά προγράμματα για την ανάλυση διεργασιών, αρχείων, του Μητρώου και του δικτύου στα Windows με πολύ περισσότερες λεπτομέρειες από τα τυπικά εργαλεία.
- Η Εξερεύνηση Διεργασιών και η Παρακολούθηση Διεργασιών είναι το κλειδί για την διερεύνηση της απόδοσης, των σφαλμάτων και του κακόβουλου λογισμικού, χάρη στην εις βάθος εικόνα που προσφέρουν για τις διεργασίες, τα DLL, τους δείκτες χειρισμού και τα συμβάντα.
- Εργαλεία όπως τα Autoruns, TcpView, Sysmon και PsTools ολοκληρώνουν το οικοσύστημα, επιτρέποντας τον έλεγχο των αυτόματων εκκινήσεων, των συνδέσεων δικτύου και της τοπικής ή απομακρυσμένης διαχείρισης.
- Η λειτουργία της μέσω του Sysinternals Live και οι συχνές ενημερώσεις καθιστούν τη σουίτα έναν απαραίτητο πόρο για διαχειριστές, προγραμματιστές και προχωρημένους χρήστες.
Αν χρησιμοποιείτε τα Windows εδώ και καιρό και διαπιστώνετε ότι η Διαχείριση Εργασιών δεν επαρκεί για να κατανοήσετε πλήρως τι πραγματικά συμβαίνει στο σύστημά σας, το Sysinternals είναι ακριβώς αυτό που ψάχνατε. Αυτή η σουίτα προηγμένων βοηθητικών προγραμμάτων της Microsoft σάς επιτρέπει να βλέπετε λεπτομερώς ποιες διεργασίες εκτελούνται, σε ποια αρχεία έχουν πρόσβαση, ποια κλειδιά μητρώου τροποποιούν, ακόμη και ποιες συνδέσεις δικτύου ανοίγουν.
Αυτά τα εργαλεία υπήρχαν πολύ πριν τα υιοθετήσει η Microsoft και, παρόλο που πολλά περνούν απαρατήρητα, αποτελούν ένα πραγματικό σουγιά για την ανάλυση διεργασιών των Windows, την ανίχνευση σφαλμάτων και την αναζήτηση κακόβουλου λογισμικού . Θα ρίξουμε μια λεπτομερή ματιά στο πώς να αξιοποιήσετε το Process Explorer, το Process Monitor και τα άλλα βοηθητικά προγράμματα Sysinternals που επικεντρώνονται στις διεργασίες, όπως εξηγούνται με σαφήνεια και με πρακτικά παραδείγματα.
Τι είναι το Sysinternals και γιατί είναι τόσο χρήσιμο για την ανάλυση διεργασιών;
Το Sysinternals είναι ένα έργο που δημιουργήθηκε το 1996 από τους Mark Russinovich και Bryce Cogswell για να φιλοξενήσει μικρά, προηγμένα διαγνωστικά εργαλεία, αρχικά επικεντρωμένα στα Windows NT, Windows 2000 και Windows XP. Ο αρχικός ιστότοπος ονομαζόταν NTinternals και σχεδιάστηκε για να δείχνει την εσωτερική λειτουργία του λειτουργικού συστήματος, ώστε οι διαχειριστές και οι προγραμματιστές να μπορούν να κατανοήσουν τι συνέβαινε "στο εσωτερικό".
Δέκα χρόνια αργότερα, το 2006, η Microsoft απέκτησε το έργο και το ενσωμάτωσε στον δικό της ιστότοπο: έκτοτε, το sysinternals.com ανακατευθύνει σε μια επίσημη ενότητα της Microsoft . Παρόλα αυτά, το πνεύμα παρέμεινε: μικρά, ελαφριά, ως επί το πλείστον φορητά βοηθητικά προγράμματα (απλώς αντιγράψτε, εκτελέστε και τελειώσατε), τα οποία συνεχίζουν να ενημερώνονται, να επεκτείνονται και να βελτιώνονται συχνά.
Αυτά τα εργαλεία έχουν σχεδιαστεί κυρίως για διαχειριστές συστημάτων, επαγγελματίες πληροφορικής και προγραμματιστές , αλλά οποιοσδήποτε προχωρημένος χρήστης μπορεί να επωφεληθεί σε μεγάλο βαθμό από αυτά. Σας επιτρέπουν να κατανοήσετε, να ρυθμίσετε και να διαχειριστείτε πολύ συγκεκριμένες πτυχές των Windows: από το τι εκτελείται κατά την εκκίνηση έως το ποιες διεργασίες καταναλώνουν CPU, ποια DLL φορτώνονται και ποιες θύρες δικτύου χρησιμοποιούνται.
Η πλήρης σουίτα περιλαμβάνει πάνω από 70 βοηθητικά προγράμματα και είναι επίσης διαθέσιμη στο Microsoft Store ως Sysinternals Suite . Η εγκατάστασή της από το κατάστημα δεν θα σας δώσει ούτε ένα εικονίδιο "εφαρμογής". Αντίθετα, θα λάβετε μια συλλογή εκτελέσιμων αρχείων και τεκμηρίωσης, την οποία μπορείτε να εκκινήσετε αναζητώντας κάθε εργαλείο με βάση το όνομά του ή μεταβαίνοντας στην τοποθεσία του.
Sysinternals Live: Εκτελέστε εργαλεία χωρίς να τα εγκαταστήσετε
Ένα από τα βασικά πλεονεκτήματα αυτής της οικογένειας βοηθητικών προγραμμάτων είναι το Sysinternals Live , μια υπηρεσία που σας επιτρέπει να εκτελείτε τα εργαλεία απευθείας από το δίκτυο, χωρίς να χρειάζεται να κατεβάσετε και να αποσυμπιέσετε τίποτα στον δίσκο σας με μη αυτόματο τρόπο.
Για να το χρησιμοποιήσετε από την Εξερεύνηση Αρχείων, απλώς πληκτρολογήστε τη διαδρομή του εργαλείου χρησιμοποιώντας τον τομέα Sysinternals Live, για παράδειγμα: live.sysinternals.com/<toolname> ή η διαδρομή UNC \\live.sysinternals.com\tools\<toolname>Με αυτόν τον τρόπο, τα Windows θα ανοίξουν το εκτελέσιμο αρχείο απευθείας από το κοινόχρηστο στοιχείο της Microsoft.
Αν προτιμάτε την κονσόλα, μπορείτε να εκκινήσετε οποιοδήποτε βοηθητικό πρόγραμμα με παρόμοια διαδρομή: \\live.sysinternals.com\tools\<toolname>Αυτό σας γλιτώνει από την ανάγκη διαχείρισης τοπικών εκδόσεων και διασφαλίζει ότι χρησιμοποιείτε πάντα την πιο πρόσφατη έκδοση κάθε εργαλείου.
Για να εξερευνήσετε όλα τα διαθέσιμα στοιχεία, μπορείτε να ανοίξετε τη διεύθυνση https://live.sysinternals.com/ στο πρόγραμμα περιήγησής σας ή στην Εξερεύνηση των Windows , όπου θα δείτε τον πλήρη κατάλογο των εργαλείων Sysinternals Live έτοιμων προς χρήση.
Εξερεύνηση Διαδικασιών: Ο «Υπερτροφοδοτούμενος Διαχειριστής Εργασιών»
Το Process Explorer είναι αναμφισβήτητα το πιο γνωστό εργαλείο του Sysinternals όσον αφορά τις διεργασίες των Windows . Σκοπός του είναι να δείχνει, με πολύ μεγαλύτερη λεπτομέρεια από τη Διαχείριση Εργασιών, τι εκτελείται στο σύστημα, πώς αλληλεπιδρούν οι διεργασίες και ποιους πόρους χρησιμοποιούν ανά πάσα στιγμή, προκειμένου να βελτιστοποιηθεί η απόδοση.
Η διεπαφή της Εξερεύνησης Διεργασιών χωρίζεται σε δύο κύρια υποπαράθυρα. Στο επάνω μέρος, εμφανίζεται πάντα μια λίστα με όλες τις ενεργές διεργασίες , συνήθως οργανωμένη σε δομή δέντρου για να εμφανίζει τις γονικές και τις θυγατρικές διεργασίες, μαζί με δεδομένα όπως περιγραφή προγράμματος, εταιρεία, αναγνωριστικό διεργασίας (PID), χρήση CPU, χρήση μνήμης κ.λπ. Εμφανίζονται επίσης τα ονόματα των λογαριασμών χρηστών που κατέχουν κάθε διεργασία.
Το κάτω παράθυρο μπορεί να λειτουργήσει σε δύο λειτουργίες: λειτουργία λαβών και λειτουργία DLL. Στη λειτουργία λαβών, θα δείτε τις λαβές που έχει ανοιχτές η επιλεγμένη διεργασία (αρχεία, κλειδιά μητρώου, αντικείμενα συστήματος κ.λπ.). Στη λειτουργία DLL, εμφανίζει τις βιβλιοθήκες δυναμικών συνδέσμων και τα αρχεία με αντιστοίχιση μνήμης που έχει φορτώσει η διεργασία. Αυτό είναι κρίσιμο για τον εντοπισμό του αρχείου που κλειδώνει μια εφαρμογή ή ποια ύποπτη ενότητα έχει εισαχθεί σε μια νόμιμη διεργασία.
Η Εξερεύνηση Διεργασιών περιλαμβάνει επίσης μια ισχυρή λειτουργία αναζήτησης που σας επιτρέπει να εντοπίσετε ποια διεργασία διατηρεί ανοιχτό ένα συγκεκριμένο αρχείο ή αρχείο DLL . Εισάγετε το όνομα ή μέρος του ονόματος και λαμβάνετε αμέσως μια λίστα με τις διεργασίες που εμπλέκονται — πολύ χρήσιμο όταν τα Windows δεν σας επιτρέπουν να διαγράψετε ένα αρχείο "επειδή χρησιμοποιείται" και θέλετε να μάθετε ποιος το κρατάει.
Ένα άλλο δυνατό σημείο είναι η επαλήθευση ψηφιακής υπογραφής . Χρησιμοποιώντας την επιλογή "Επαλήθευση", μπορείτε να ελέγξετε εάν τα εκτελέσιμα αρχεία και τα αρχεία DLL που φορτώνονται στη μνήμη έχουν έγκυρη υπογραφή από τον κατασκευαστή τους. Αυτό βοηθά στη διάκριση νόμιμων διεργασιών από πιθανώς παραποιημένα ή μη υπογεγραμμένα δυαδικά αρχεία, κάτι που είναι πολύ συνηθισμένο σε κακόβουλο λογισμικό ή παλαιότερα, μη συντηρούμενα πλέον προγράμματα.
Το εργαλείο χρησιμοποιεί επίσης χρώματα για να χαρακτηρίσει οπτικά διεργασίες : υπηρεσίες συστήματος, διεργασίες στο πλαίσιο της Εξερεύνησης των Windows, συσκευασμένες εφαρμογές κ.λπ. Μια γρήγορη ματιά στη στήλη με τα ονόματα και τα χρώματα σάς επιτρέπει να δείτε πώς μοιάζει κάθε στοιχείο χωρίς να χρειάζεται να εμβαθύνετε σε πολλές λεπτομέρειες στην αρχή.
Επιπλέον, η Εξερεύνηση Διεργασιών προσφέρει μια προβολή χρονοδιαγράμματος που εμφανίζει γραφικά πότε ξεκίνησε κάθε διεργασία . Στην ανάλυση περιστατικών ασφαλείας ή ανώμαλης συμπεριφοράς, αυτή η λειτουργία βοηθά στον εντοπισμό του πότε ξεκίνησε η ύποπτη δραστηριότητα και πώς αυτή σχετίζεται με άλλες διεργασίες που ξεκίνησαν εντός του ίδιου χρονικού πλαισίου.
Το βοηθητικό πρόγραμμα είναι ιδανικό για την παρακολούθηση προβλημάτων έκδοσης DLL, τη διαχείριση διαρροών (χειριστήρια που δεν κυκλοφορούν ποτέ) και γενικά για την καλύτερη κατανόηση του τρόπου λειτουργίας των Windows εσωτερικά και του τι κάνουν στην πραγματικότητα οι εφαρμογές σας.
Παρακολούθηση διεργασιών: ακτινογραφία αρχείων, αρχείων καταγραφής και διεργασιών σε πραγματικό χρόνο
Το Process Monitor (Procmon) είναι ένα άλλο βασικό στοιχείο του οικοσυστήματος Sysinternals. Είναι ένα προηγμένο εργαλείο παρακολούθησης που εμφανίζει όλη τη δραστηριότητα του συστήματος αρχείων, τη δραστηριότητα του μητρώου των Windows και τις διεργασίες ή τα νήματα που εκτελούνται σε πραγματικό χρόνο.
Συνδυάζει και ξεπερνά τα χαρακτηριστικά των παλαιότερων βοηθητικών προγραμμάτων Filemon και Regmon, προσθέτοντας μια μακρά λίστα βελτιώσεων που έχουν σχεδιαστεί για ολοκληρωμένη ιχνηλασιμότητα χωρίς να χάνονται πληροφορίες . Μεταξύ των πιο αξιοσημείωτων χαρακτηριστικών του είναι ένα εξαιρετικά ευέλικτο και μη καταστροφικό σύστημα φιλτραρίσματος: μπορείτε να εφαρμόσετε, να προσαρμόσετε και να αφαιρέσετε φίλτρα εν κινήσει χωρίς να χάσετε κανένα συμβάν που έχει ήδη καταγραφεί.
Κάθε καταγεγραμμένο συμβάν εμφανίζει ολοκληρωμένες ιδιότητες, όπως αναγνωριστικά περιόδου σύνδεσης, ονόματα χρήστη, διαδρομή εικόνας διεργασίας , τη γραμμή εντολών από την οποία ξεκίνησε, αναγνωριστικά διεργασίας και νήματος και πολλά άλλα. Για κάθε λειτουργία, είναι δυνατή η καταγραφή στοίβων νημάτων με ενσωματωμένη υποστήριξη συμβόλων, η οποία βοηθά στον εντοπισμό της βασικής αιτίας μιας δεδομένης κλήσης.
Η εσωτερική αρχιτεκτονική καταγραφής έχει σχεδιαστεί για να κλιμακώνεται πολύ καλά ακόμη και υπό βαριά φορτία: είναι ικανή να χειρίζεται δεκάδες εκατομμύρια συμβάντα και gigabytes δεδομένων καταγραφής χωρίς προβλήματα, κάτι που είναι απαραίτητο όταν θέλετε να συνεχίσετε να καταγράφετε πληροφορίες κατά τη διάρκεια μιας πλήρους εκκίνησης του συστήματος ή σε περίπτωση διαλείπουσας βλάβης που είναι δύσκολο να αναπαραχθεί.
Το Process Monitor σάς επιτρέπει να καταγράφετε τη δραστηριότητα απευθείας σε ένα αρχείο σε εγγενή μορφή καταγραφής που διατηρεί όλες τις λεπτομέρειες για μεταγενέστερη φόρτωση σε άλλη παρουσία του εργαλείου. Αυτό είναι πολύ χρήσιμο σε περιβάλλοντα εγκληματολογικής ή τεχνικής υποστήριξης: καταγράφετε το πρόβλημα στον υπολογιστή του χρήστη και αναλύετε τα αποτελέσματα αργότερα στον δικό σας υπολογιστή.
Η διεπαφή περιλαμβάνει διαμορφώσιμες και κυλιόμενες στήλες για σχεδόν οποιαδήποτε ιδιότητα συμβάντος. Μπορούν επίσης να δημιουργηθούν φίλτρα με βάση οποιοδήποτε πεδίο, ακόμα και αυτά που δεν έχουν διαμορφωθεί ως ορατές στήλες, προσφέροντας ένα τεράστιο επίπεδο προσαρμογής για να περιορίσετε ακριβώς αυτό που θέλετε να δείτε.
Μεταξύ των βοηθητικών εργαλείων, ξεχωρίζει το δέντρο διεργασιών , το οποίο δείχνει τη σχέση μεταξύ όλων των διεργασιών που υπάρχουν σε μια ιχνηλάτηση, οι συμβουλές εργαλείων διεργασίας και οι πληροφορίες λεπτομερειών, οι οποίες επιτρέπουν την προβολή εκτεταμένων πεδίων σε αναδυόμενα παράθυρα χωρίς να κορεστεί η κύρια προβολή, και μια αναζήτηση αρχείου καταγραφής με δυνατότητα ακύρωσης για τον εντοπισμό συγκεκριμένων συμβολοσειρών χωρίς να μπλοκάρεται η διεπαφή.
Το Process Monitor περιλαμβάνει επίσης μια λειτουργία καταγραφής χρόνου εκκίνησης , η οποία καταγράφει λειτουργίες από τα αρχικά στάδια της εκκίνησης των Windows. Για όσους αντιμετωπίζουν προβλήματα εκκίνησης, διαγιγνώσκουν αποτυχίες εφαρμογών ή αναζητούν κακόβουλο λογισμικό, το Process Monitor συχνά γίνεται ένα απαραίτητο εργαλείο στην εργαλειοθήκη τους.
Εξερεύνηση διεργασιών και παρακολούθηση διεργασιών σε εγκληματολογική ανάλυση και κυνήγι κακόβουλου λογισμικού
Τα εργαλεία Sysinternals είναι ιδιαίτερα χρήσιμα όταν υποψιαζόμαστε ότι ένα σύστημα έχει παραβιαστεί και θέλουμε να μάθουμε ποιες διεργασίες χρησιμοποιεί το κακόβουλο λογισμικό και πώς αλληλεπιδρούν με το σύστημα . Δεν πρόκειται πάντα για τη συλλογή αποδεικτικών στοιχείων για μια δοκιμή. Συχνά θέλουμε απλώς να κατανοήσουμε αμέσως τι συμβαίνει σε έναν υπολογιστή, ώστε να μπορέσουμε να δράσουμε γρήγορα.
Το πρώτο βήμα είναι συνήθως να βεβαιωθείτε ότι έχετε εγκαταστήσει ή έχετε πρόσβαση στη σουίτα Sysinternals, είτε μέσω τοπικής λήψης είτε χρησιμοποιώντας το Sysinternals Live. Μόλις γίνουν διαθέσιμα, θα βρείτε εκτελέσιμα αρχεία όπως το Process Explorer (procexp.exe) και το Process Monitor (procmon.exe) στον κατάλληλο φάκελο, έτοιμα για εκκίνηση χωρίς πολύπλοκες εγκαταστάσεις.
Με την Εξερεύνηση Διεργασιών, μπορείτε να δείτε όλες τις ενεργές διεργασίες και τα νήματα, τη χρήση της CPU και της μνήμης τους, το PID, την περιγραφή και άλλες σχετικές διεργασίες . Εάν υποψιάζεστε κάποια μόλυνση, συχνά θα βλέπετε σαφή σημάδια: διεργασίες με παράξενα ονόματα, ασυνήθιστες τοποθεσίες, μη υπογεγραμμένα εκτελέσιμα αρχεία ή διεργασίες που εξαρτώνται από ύποπτες γονικές διεργασίες.
Σε ένα εγκληματολογικό πλαίσιο, το Process Explorer γίνεται ένα από τα πιο πολύτιμα εργαλεία του Sysinternals. Για παράδειγμα, μπορείτε να αναλύσετε μια συγκεκριμένη διεργασία, όπως αυτή ενός πρόσθετου προγράμματος περιήγησης (το Flash ήταν κάποτε ένας τυπικός στόχος επιθέσεων), που υποψιάζεστε ότι έχει παραβιαστεί. Ανοίγοντας τις ιδιότητές του, θα δείτε ένα πλαίσιο με πολλές ενότητες πληροφοριών : διαδρομή προς το εκτελέσιμο αρχείο, εντολές εκκίνησης, κατανάλωση πόρων, φορτωμένες ενότητες, δικαιώματα και ούτω καθεξής.
Από την καρτέλα δικαιωμάτων, μπορείτε να ελέγξετε ποιος έχει πρόσβαση σε αυτήν τη διεργασία . Εάν, εκτός από τους αναμενόμενους λογαριασμούς (Σύστημα, τοπικός χρήστης, τυπικές υπηρεσίες), βλέπετε άγνωστους ή ασυνήθιστους λογαριασμούς, αυτό θα μπορούσε να αποτελεί ένδειξη χειραγώγησης ή κακόβουλης επιμονής.
Ένα άλλο βασικό χαρακτηριστικό είναι η καρτέλα "Συμβολοσειρές", η οποία σας επιτρέπει να εξαγάγετε όλες τις συμβολοσειρές ASCII που είναι ενσωματωμένες στη διεργασία . Αυτές μπορεί να περιλαμβάνουν σχόλια που έχουν αφήσει οι προγραμματιστές, διαδρομές αρχείων, διευθύνσεις ιστού, εντολές, μηνύματα σφάλματος και άλλα δεδομένα πολύ χρήσιμα για τη δημιουργία προφίλ της συμπεριφοράς του αναλυμένου δυαδικού αρχείου.
Το Process Monitor συμπληρώνει αυτήν την ανάλυση επιτρέποντάς σας να βλέπετε λεπτομερώς κάθε λειτουργία που εκτελεί η διεργασία σε αρχεία, στο Μητρώο και στο δίκτυο . Μπορείτε να φιλτράρετε την ανίχνευση για να εστιάσετε στην ύποπτη διεργασία και να παρατηρήσετε ποια πλήκτρα αγγίζει, ποια αρχεία διαβάζει ή γράφει και ποια σφάλματα επιστρέφει. Συχνά, ο συνδυασμός και των δύο εργαλείων παρέχει μια αρκετά σαφή εικόνα για να εντοπίσετε τον φορέα επίθεσης ή τη μέθοδο επιμονής του κακόβουλου λογισμικού.
Λεπτομερής Εξερεύνηση Διαδικασιών: εγκατάσταση, χρήση και σύμβολα
Η εγκατάσταση του Process Explorer είναι απλή: απλώς εκτελέστε το αρχείο procexp.exe . Ως φορητό βοηθητικό πρόγραμμα, δεν απαιτεί οδηγό εγκατάστασης και δεν τροποποιεί επιθετικά το σύστημά σας. Το ενσωματωμένο αρχείο βοήθειας εξηγεί τις επιλογές και τις λειτουργίες χρήσης με αρκετή λεπτομέρεια.
Εάν αντιμετωπίσετε αμφιβολίες ή προβλήματα με την Εξερεύνηση Διεργασιών, η Microsoft διατηρεί μια συγκεκριμένη ενότητα στην πλατφόρμα Ερωτήσεων και Απαντήσεων (Microsoft Q&A) αφιερωμένη σε αυτό το εργαλείο, όπου άλλοι χρήστες και ειδικοί μοιράζονται λύσεις, συμβουλές και εμπειρίες από τον πραγματικό κόσμο με διαφορετικά σενάρια χρήσης.
Για να αξιοποιήσετε στο έπακρο τις πληροφορίες εντοπισμού σφαλμάτων, το Process Explorer μπορεί να χρησιμοποιήσει σύμβολα εντοπισμού σφαλμάτων . Όταν ρυθμίζετε τη διαδρομή προς το DBGHELP.DLL και τον διακομιστή συμβόλων (για παράδειγμα, τον δημόσιο διακομιστή της Microsoft), είναι σημαντικό ο φάκελος που περιέχει το DBGHELP.DLL να περιέχει επίσης το SYMSRV.DLL, το οποίο είναι η βιβλιοθήκη που επιτρέπει την πρόσβαση σε αυτούς τους διακομιστές.
Η τεκμηρίωση του SymSrv εξηγεί με περισσότερες λεπτομέρειες πώς να ρυθμίσετε αυτές τις διαδρομές συμβόλων και πώς να εργαστείτε με διακομιστές συμβόλων. Τα σωστά διαμορφωμένα σύμβολα βελτιώνουν σημαντικά την ποιότητα των στοίβων κλήσεων και τις εσωτερικές πληροφορίες που εμφανίζονται σχετικά με τις διεργασίες και τα DLL.
Το Process Explorer ενημερώνεται σχετικά συχνά. Στις πρόσφατες εκδόσεις, όπως η έκδοση v16.43, διατηρεί τη συμβατότητα με τα Windows 8.1 και νεότερες εκδόσεις στην πλευρά του πελάτη και με τα Windows Server 2012 και νεότερες εκδόσεις στην πλευρά του διακομιστή. Αυτό το καθιστά ένα ευέλικτο εργαλείο κατάλληλο για μικτά περιβάλλοντα με διαφορετικές εκδόσεις των Windows.
Λεπτομερής παρακολούθηση διεργασιών: φιλτράρισμα, στήλες και σενάρια χρήσης
Το Process Monitor διανέμεται επίσης ως αυτόνομο εκτελέσιμο αρχείο. Μόλις εκκινηθεί, αρχίζει να καταγράφει συμβάντα σχεδόν αμέσως, επομένως είναι καλή ιδέα να ρυθμίσετε φίλτρα νωρίς για να αποφύγετε να καταλήξετε με έναν δυσκίνητο ωκεανό δεδομένων.
Κάθε γραμμή στην κύρια προβολή αντιπροσωπεύει ένα συμβάν: ποια διεργασία την προκάλεσε, σε ποια χρονική στιγμή, ποια λειτουργία εκτέλεσε (ανάγνωση αρχείου, εγγραφή στο μητρώο, δημιουργία διεργασίας κ.λπ.), σε ποια διαδρομή, ποιο αποτέλεσμα επέστρεψε και πρόσθετες λεπτομέρειες, όπως οι συγκεκριμένες παράμετροι αυτής της κλήσης.
Το εργαλείο εμφανίζει μια πληθώρα πληροφοριών ανά συμβάν: όνομα διεργασίας, ακριβή ώρα, πλήρη διαδρομή πόρου, αποτέλεσμα και συγκεκριμένα δεδομένα . Αυτός ο πλούτος επιτρέπει τη διάγνωση των πάντων, από σφάλματα δικαιωμάτων έως λανθασμένα διαμορφωμένες διαδρομές ή λανθασμένα τοποθετημένα DLL.
Το Procmon ενσωματώνει μια σειρά από προηγμένα φίλτρα που μπορείτε να ορίσετε σχεδόν από οποιοδήποτε πεδίο, συνδυάζοντας συνθήκες με λογικούς τελεστές. Αυτό καθιστά δυνατή, για παράδειγμα, την εστίαση αποκλειστικά σε σφάλματα άρνησης πρόσβασης , λειτουργίες εγγραφής μίας διεργασίας ή αναγνώσεις ενός συγκεκριμένου κλειδιού μητρώου.
Σε σενάρια κακόβουλου λογισμικού, το Process Monitor σάς βοηθά να δείτε ακριβώς τι κάνει το ύποπτο πρόγραμμα : πού προσπαθεί να γράψει, ποια κλειδιά μητρώου χρησιμοποιεί για να παραμείνει ενεργό κατά την εκκίνηση, ποια αρχεία κατεβάζει ή τροποποιεί και ποια σφάλματα προκαλεί στο σύστημα. Όλα αυτά καταγράφονται και μπορούν να αποθηκευτούν για μελλοντική ανάλυση ή για την τεκμηρίωση ενός περιστατικού ασφαλείας.
Ως πρόσθετο πλεονέκτημα, οι στοίβες νημάτων που υποστηρίζονται από σύμβολα παρέχουν πληροφορίες σχετικά με το ποια συγκεκριμένη λειτουργία και ποια ενότητα προκάλεσε κάθε συμβάν, επιτρέποντάς σας να φτάσετε σε ένα πολύ λεπτό επίπεδο λεπτομέρειας κατά την διερεύνηση της εσωτερικής συμπεριφοράς μιας εφαρμογής ή ενός στοιχείου συστήματος.
Άλλα εργαλεία Sysinternals που σχετίζονται με διαδικασίες και συστήματα
Παρόλο που τα Process Explorer και Process Monitor είναι τα κορυφαία για την ανάλυση διεργασιών στα Windows, η σουίτα Sysinternals περιλαμβάνει πολλά άλλα βοηθητικά προγράμματα που συμπληρώνουν αυτήν την προβολή και βοηθούν στη διάγνωση, την ασφάλεια και την απόδοση.
Το Handle είναι ένα πρόγραμμα προβολής λαβών γραμμής εντολών που σας επιτρέπει να εμφανίσετε μια λίστα με τα αρχεία συστήματος και τα αντικείμενα που χρησιμοποιούνται από κάθε διεργασία. Είναι η έκδοση κονσόλας των πληροφοριών λαβής που βλέπετε στην Εξερεύνηση Διεργασιών, πολύ χρήσιμη για τη δημιουργία σεναρίων και τον αυτοματισμό.
Το ListDLLs δείχνει επίσης, από τη γραμμή εντολών, ποια DLL έχει φορτώσει κάθε διεργασία, κάτι που είναι χρήσιμο για την ανίχνευση ενσωματωμένων ενοτήτων ή μη αναμενόμενων βιβλιοθηκών μέσα σε ένα νόμιμο εκτελέσιμο αρχείο.
Τα PsList και PsKill , μέρος της σουίτας PsTools, σάς επιτρέπουν να δημιουργείτε λίστα και να τερματίζετε διεργασίες τόσο τοπικά όσο και απομακρυσμένα. Εργαλεία γραμμής εντολών όπως αυτά είναι απαραίτητα για τους διαχειριστές που εργάζονται από την κονσόλα.
Το Sysmon (System Monitor) είναι μια υπηρεσία συστήματος που, αφού εγκατασταθεί, παραμένει ενεργή μετά από επανεκκινήσεις και είναι αφιερωμένη στην παρακολούθηση και την καταγραφή της δραστηριότητας του συστήματος λεπτομερώς . Καταγράφει δημιουργίες διεργασιών, συνδέσεις δικτύου, τροποποιήσεις αρχείων, πρόσβαση στη μνήμη μεταξύ διεργασιών, δημιουργία απομακρυσμένων νημάτων και πολλά άλλα, ενώ παράλληλα ενσωματώνεται με τα αρχεία καταγραφής συμβάντων των Windows.
Για να δείτε όλη τη δραστηριότητα των θυρών δικτύου, το TcpView εμφανίζει σε πραγματικό χρόνο τις ανοιχτές συνδέσεις TCP και UDP, υποδεικνύοντας τις τοπικές και απομακρυσμένες διευθύνσεις, την κατάσταση σύνδεσης και, στις σύγχρονες εκδόσεις των Windows, το όνομα της διεργασίας που κατέχει . Είναι σαν μια βελτιωμένη, γραφική έκδοση του Netstat, εξαιρετική για την ανίχνευση ύποπτης δραστηριότητας δικτύου που δημιουργείται από κακόβουλο λογισμικό ή μη εξουσιοδοτημένο λογισμικό.
Αυτόματες εκτελέσεις και άλλα βασικά βοηθητικά προγράμματα της σουίτας Sysinternals
Παρόλο που η έμφαση εδώ δίνεται στις διεργασίες, δεν μπορεί κανείς να μιλήσει για το Sysinternals χωρίς να αναφέρει εργαλεία που, αν και δεν είναι καθαρά εργαλεία διεργασιών, είναι απαραίτητα για τον έλεγχο του τι εκτελείται στα Windows και πώς.
Το Autoruns είναι ο απόλυτος πόρος για την αναθεώρηση και τη διαχείριση όλων όσων ξεκινούν αυτόματα με το σύστημα ή την περίοδο λειτουργίας χρήστη. Πηγαίνει πολύ πιο πέρα από το MSConfig: εμφανίζει προγράμματα σε φακέλους εκκίνησης, κλειδιά μητρώου Run και RunOnce, υπηρεσίες αυτόματης εκκίνησης, επεκτάσεις κελύφους Explorer, γραμμές εργαλείων, αντικείμενα βοήθειας προγράμματος περιήγησης, ειδοποιήσεις Winlogon και πολλά άλλα.
Οι πληροφορίες είναι οργανωμένες σε θεματικές καρτέλες (Office, Εκτυπωτές, Winlogon, κ.λπ.), επιτρέποντάς σας να δείτε την πηγή κάθε καταχώρησης Autorun . Κάθε γραμμή περιλαμβάνει πεδία όπως το όνομα της καταχώρησης (Autorun Entry), μια σύντομη περιγραφή, τον εκδότη (Publisher), τη διαδρομή της εικόνας (Image Path), την ημερομηνία και ώρα εγκατάστασής της (Timestamp) και μια ένδειξη σάρωσης VirusTotal.
Στη διεπαφή, οι ροζ καταχωρήσεις συνήθως αντιστοιχούν σε αρχεία χωρίς ψηφιακή υπογραφή ή με υπογραφή που δεν ήταν δυνατή η επαλήθευση: αυτό θα μπορούσε να οφείλεται σε ληγμένα πιστοποιητικά, πολύ παλιά προγράμματα, κατεστραμμένα αρχεία ή ύποπτες τροποποιήσεις. Οι κίτρινες καταχωρήσεις υποδεικνύουν αρχεία που δεν υπάρχουν πλέον ή στα οποία το εργαλείο δεν έχει πρόσβαση , παρόλο που το σύστημα συνεχίζει να προσπαθεί να τα φορτώσει κατά την εκκίνηση. Σε αυτές τις περιπτώσεις, συνιστάται να ελέγξετε προσεκτικά την καταχώρηση πριν διαγράψετε οτιδήποτε και, ως προφύλαξη, είναι συνήθως καλύτερο να καταργήσετε την επιλογή της καταχώρησης αντί να τη διαγράψετε.
Το Autoruns σάς επιτρέπει επίσης να συγκρίνετε καταγραφές που έχουν ληφθεί σε διαφορετικές χρονικές στιγμές για να δείτε τι έχει αλλάξει μεταξύ μιας ανάλυσης και μιας άλλης, κάτι που είναι πολύ χρήσιμο για την ανίχνευση νέων καταχωρήσεων εκκίνησης που έχουν προστεθεί από ένα πρόγραμμα ή κακόβουλο λογισμικό.
Άλλα δημοφιλή εργαλεία του Sysinternals περιλαμβάνουν το AccessEnum (για την καταχώριση δικαιωμάτων αρχείων, φακέλων και κλειδιών μητρώου που αποκλίνουν από τον γονικό τους φάκελο), το BGInfo (το οποίο εμφανίζει τεχνικά δεδομένα συστήματος απευθείας στο φόντο της επιφάνειας εργασίας), το Contig (για ανασυγκρότηση συγκεκριμένων αρχείων χωρίς να αγγίξει ολόκληρο τον δίσκο), τους Desktops (εικονικές επιφάνειες εργασίας και σε παλαιότερες εκδόσεις των Windows), το Disk2vhd (για μετατροπή φυσικών δίσκων σε αρχεία VHD για εικονικές μηχανές) και το ZoomIt , το οποίο χρησιμοποιείται ευρέως σε τεχνικές παρουσιάσεις για ζουμ και σχεδίαση στην οθόνη με συντομεύσεις πληκτρολογίου.
Στον τομέα της προηγμένης διαχείρισης, το PsTools προσφέρει μια σουίτα βοηθητικών προγραμμάτων γραμμής εντολών για τοπική και απομακρυσμένη διαχείριση: αλλαγές κωδικών πρόσβασης, έλεγχος συνδεδεμένων χρηστών, διαχείριση διεργασιών και υπηρεσιών, απομακρυσμένη εκτέλεση εντολών (PsExec) και τερματισμός λειτουργίας συστήματος. Πολλά από αυτά τα εργαλεία είναι απαραίτητα σε εταιρικά περιβάλλοντα όπου η διαχείριση πολλών υπολογιστών γίνεται από τη γραμμή εντολών.
Πρόσφατες εξελίξεις στο οικοσύστημα Sysinternals
Η Microsoft συνεχίζει να συντηρεί και να επεκτείνει το Sysinternals με τακτικές ενημερώσεις. Πρόσφατα, έχουν εισαχθεί σημαντικές βελτιώσεις σε διάφορα εργαλεία που επηρεάζουν άμεσα ή έμμεσα την ανάλυση διαδικασιών και συστημάτων.
Για παράδειγμα, το ZoomIt έφτασε στην έκδοση 10.0 , προσθέτοντας ένα πρόγραμμα επεξεργασίας βίντεο κλιπ για την περικοπή εγγραφών πριν από την αποθήκευση και υποστήριξη για την καταγραφή ήχου συστήματος. Το ZoomIt έχει επίσης ενσωματωθεί στο Microsoft PowerToys, ενώ παραμένει ένα αυτόνομο βοηθητικό πρόγραμμα στο Sysinternals και γίνεται ανοιχτού κώδικα.
Στον τομέα της παρακολούθησης, το Sysmon για Linux συνέχισε να εξελίσσεται, ενσωματώνοντας συμβάντα όπως το EbpfEvent για την παρακολούθηση των φορτίων προγραμμάτων eBPF, επεκτείνοντας την εστίαση του Sysinternals πέρα από τα Windows σε περιβάλλοντα Linux, κάτι ιδιαίτερα ενδιαφέρον για μικτές ομάδες.
Άλλες αξιοσημείωτες ενημερώσεις περιλαμβάνουν το Coreinfo με γραφική διεπαφή για την οπτικοποίηση τοπολογιών CPU, μνήμης NUMA και χαρακτηριστικών επεξεργαστή, το RDCMan με βελτιώσεις ασφαλείας και σύγχρονη υποστήριξη Remote Desktop και το Ctrl2Cap , ένα εργαλείο που βοηθά στην επανατοποθέτηση του πλήκτρου Caps Lock σε Ctrl στα Windows 10 και 11 χωρίς την ανάγκη πρόσθετων προγραμμάτων οδήγησης.
Υπάρχει ακόμη και μια επέκταση Azure DevOps που ενσωματώνει εργαλεία Sysinternals σε αγωγούς δημιουργίας και ανάπτυξης, διευκολύνοντας την αντιμετώπιση προβλημάτων δημιουργίας και έκδοσης απευθείας σε περιβάλλοντα CI/CD, καθώς και εκδόσεις των ProcDump και Sysmon προσαρμοσμένες σε Linux με υποστήριξη για αρχιτεκτονικές όπως η ARM64.
Συνολικά, ολόκληρο αυτό το οικοσύστημα σημαίνει ότι μόλις συνηθίσετε να εργάζεστε με το Sysinternals, γίνονται αχώριστοι σύντροφοι του Task Manager και του PowerToys , ειδικά αν είστε προχωρημένος χρήστης ή διαχειρίζεστε πολλούς υπολογιστές.
Ο συνδυασμός του Process Explorer και του Process Monitor, μαζί με εργαλεία όπως τα Autoruns, Sysmon και TcpView, σάς επιτρέπει να μεταβείτε από το "κάτι δεν πάει καλά και δεν ξέρω τι είναι" στο να έχετε μια πολύ ακριβή εικόνα για το ποιες διεργασίες εκτελούνται, πώς αλληλεπιδρούν με τα Windows, σε ποιους πόρους έχουν πρόσβαση και ποια ίχνη αφήνουν πίσω τους . Η κατανόηση και ο έλεγχος αυτών των βοηθητικών προγραμμάτων όχι μόνο σας βοηθά να λύσετε συγκεκριμένα προβλήματα, αλλά βελτιώνει επίσης την ικανότητά σας να βελτιστοποιείτε τις υπηρεσίες και την απόδοση και να διατηρείτε τα συστήματά σας υπό έλεγχο σε καθημερινή βάση.
