- Sysinternals offre utilità avanzate per analizzare processi, file, Registro di sistema e rete in Windows con un livello di dettaglio molto più elevato rispetto agli strumenti standard.
- Process Explorer e Process Monitor sono fondamentali per analizzare prestazioni, errori e malware, grazie alla loro visione approfondita di processi, DLL, handle ed eventi.
- Strumenti come Autoruns, TcpView, Sysmon e PsTools completano l'ecosistema, consentendo il controllo degli avvii automatici, delle connessioni di rete e dell'amministrazione locale o remota.
- Grazie all'esecuzione tramite Sysinternals Live e agli aggiornamenti frequenti, la suite è una risorsa essenziale per amministratori, sviluppatori e utenti avanzati.
Se utilizzi Windows da un po' di tempo e ritieni che Gestione attività non sia sufficiente per comprendere appieno cosa stia realmente accadendo nel tuo sistema, Sysinternals è esattamente ciò che stavi cercando. Questa suite di utilità Microsoft avanzate ti consente di visualizzare, nel dettaglio, quali processi sono in esecuzione, a quali file accedono, quali chiavi di registro modificano e persino quali connessioni di rete aprono.
Questi strumenti esistevano già molto prima che Microsoft li adottasse e, sebbene molti passino inosservati, rappresentano un vero e proprio coltellino svizzero per analizzare i processi di Windows, rilevare errori e scovare malware . Esamineremo nel dettaglio come sfruttare Process Explorer, Process Monitor e le altre utility Sysinternals focalizzate sui processi, spiegando il tutto in modo chiaro ed efficace con esempi pratici.
Che cos'è Sysinternals e perché è così utile per analizzare i processi?
Sysinternals è un progetto creato nel 1996 da Mark Russinovich e Bryce Cogswell per ospitare piccoli strumenti di diagnostica avanzata, inizialmente focalizzati su Windows NT, Windows 2000 e Windows XP. Il sito originale si chiamava NTinternals ed era stato progettato per mostrare il funzionamento interno del sistema operativo in modo che amministratori e sviluppatori potessero comprendere cosa accadeva "dietro le quinte".
Dieci anni dopo, nel 2006, Microsoft acquisì il progetto e lo integrò nel proprio sito web: da allora, sysinternals.com reindirizza a una sezione ufficiale di Microsoft . Ciononostante, lo spirito è rimasto invariato: utility piccole, leggere e per lo più portatili (basta copiare, eseguire e il gioco è fatto), che continuano a essere aggiornate, ampliate e perfezionate frequentemente.
Questi strumenti sono progettati principalmente per amministratori di sistema, professionisti IT e sviluppatori , ma qualsiasi utente esperto può trarne grande vantaggio. Permettono di comprendere, configurare e gestire aspetti molto specifici di Windows: da cosa viene eseguito all'avvio a quali processi consumano CPU, quali DLL vengono caricate e quali porte di rete vengono utilizzate.
La suite completa include oltre 70 utility ed è disponibile anche nel Microsoft Store con il nome di Sysinternals Suite . Installandola dallo store non verrà visualizzata un'icona "app"; al contrario, si otterrà una raccolta di file eseguibili e documentazione, che è possibile avviare cercando ogni strumento per nome o navigando fino alla sua posizione.
Sysinternals Live: esegui gli strumenti senza installarli
Uno dei principali vantaggi di questa famiglia di utility è Sysinternals Live , un servizio che consente di eseguire gli strumenti direttamente dalla rete, senza dover scaricare e decomprimere manualmente alcun file sul disco rigido.
Per utilizzarlo da Esplora file, è sufficiente digitare il percorso dello strumento utilizzando il dominio Sysinternals Live, ad esempio: live.sysinternals.com/<toolname> o il percorso UNC \\live.sysinternals.com\tools\<toolname>In questo modo, Windows aprirà l'eseguibile direttamente dalla condivisione Microsoft.
Se preferisci la console, puoi avviare qualsiasi utility con un percorso simile: \\live.sysinternals.com\tools\<toolname>In questo modo non dovrai più gestire le versioni locali e avrai la certezza di utilizzare sempre la versione più recente di ogni strumento.
Per esplorare tutte le funzionalità disponibili, puoi aprire https://live.sysinternals.com/ nel tuo browser o in Esplora risorse di Windows , dove troverai l'elenco completo degli strumenti Sysinternals Live pronti all'uso.
Process Explorer: il “Task Manager potenziato”
Process Explorer è probabilmente lo strumento più conosciuto di Sysinternals per quanto riguarda i processi di Windows . Il suo scopo è mostrare, con un livello di dettaglio molto maggiore rispetto a Gestione attività, cosa sta eseguendo il sistema, come interagiscono i processi e quali risorse stanno utilizzando in un dato momento, al fine di ottimizzare le prestazioni.
L'interfaccia di Process Explorer è suddivisa in due finestre secondarie principali. Nella parte superiore viene sempre visualizzato un elenco di tutti i processi attivi , solitamente organizzato in una struttura ad albero per mostrare i processi padre e figlio, insieme a dati quali descrizione del programma, azienda, identificativo del processo (PID), utilizzo della CPU, utilizzo della memoria, ecc. Vengono inoltre visualizzati i nomi degli account utente proprietari di ciascun processo.
La finestra inferiore può operare in due modalità: modalità handle e modalità DLL. In modalità handle, vengono visualizzati gli handle aperti dal processo selezionato (file, chiavi di registro, oggetti di sistema, ecc.). In modalità DLL, vengono visualizzate le librerie di collegamento dinamico e i file mappati in memoria caricati dal processo. Questo è fondamentale per individuare quale file un'applicazione sta bloccando o quale modulo sospetto è stato iniettato in un processo legittimo.
Process Explorer include anche una potente funzione di ricerca che consente di individuare quale processo sta mantenendo aperto un determinato file o DLL . È sufficiente inserire il nome o parte di esso per ottenere immediatamente un elenco dei processi coinvolti: una funzionalità molto utile quando Windows non permette di eliminare un file "perché è in uso" e si desidera sapere chi lo sta mantenendo aperto.
Un altro punto di forza è la verifica della firma digitale . Utilizzando l'opzione "Verifica", è possibile controllare se i file eseguibili e le DLL caricati in memoria dispongono di una firma valida del produttore. Questo aiuta a distinguere i processi legittimi da file binari potenzialmente manipolati o non firmati, un problema molto comune nei malware o nei programmi obsoleti non più supportati.
Lo strumento utilizza anche i colori per caratterizzare visivamente i processi : servizi di sistema, processi all'interno di Esplora risorse di Windows, applicazioni pacchettizzate, ecc. Una rapida occhiata alla colonna di nomi e colori permette di visualizzare l'aspetto di ciascun elemento senza doversi addentrare troppo nei dettagli fin da subito.
Inoltre, Process Explorer offre una visualizzazione cronologica che mostra graficamente l'orario di avvio di ciascun processo . Nell'analisi di incidenti di sicurezza o comportamenti anomali, questa funzionalità aiuta a individuare con precisione quando è iniziata l'attività sospetta e come questa si relaziona ad altri processi avviati nello stesso arco temporale.
Questa utility è ideale per individuare problemi di versione delle DLL, perdite di handle (handle che non vengono mai rilasciati) e, in generale, per comprendere meglio il funzionamento interno di Windows e le effettive attività delle applicazioni.
Process Monitor: radiografia in tempo reale di file, registri e processi
Process Monitor (Procmon) è un altro componente chiave dell'ecosistema Sysinternals. Si tratta di uno strumento di monitoraggio avanzato che visualizza in tempo reale tutte le attività del file system, le attività del Registro di sistema di Windows e i processi o thread in esecuzione.
Combina e supera le funzionalità delle precedenti utility Filemon e Regmon, aggiungendo una lunga lista di miglioramenti progettati per una tracciabilità completa senza perdita di informazioni . Tra le sue caratteristiche più notevoli spicca un sistema di filtraggio estremamente flessibile e non distruttivo: è possibile applicare, modificare e rimuovere i filtri al volo senza perdere gli eventi già acquisiti.
Ogni evento registrato mostra proprietà complete, tra cui ID di sessione, nomi utente, percorso dell'immagine del processo , la riga di comando da cui è stato avviato, ID di processo e thread e molto altro. Per ogni operazione, è possibile acquisire gli stack dei thread con il supporto simbolico integrato, il che aiuta a individuare la causa principale di una determinata chiamata.
L'architettura di logging interna è progettata per scalare in modo eccellente anche sotto carichi pesanti: è in grado di gestire decine di milioni di eventi e gigabyte di dati di log senza intoppi, il che è fondamentale quando si desidera continuare ad acquisire informazioni durante l'avvio completo del sistema o in caso di un guasto intermittente difficile da riprodurre.
Process Monitor consente di registrare l'attività direttamente in un file in un formato di log nativo che conserva tutti i dettagli per un successivo caricamento in un'altra istanza dello strumento. Questo è molto utile in ambienti di analisi forense o di supporto tecnico: si cattura il problema sul computer dell'utente e si analizzano i risultati in un secondo momento sul proprio computer.
L'interfaccia include colonne configurabili e scorrevoli per praticamente qualsiasi proprietà dell'evento. È inoltre possibile creare filtri basati su qualsiasi campo, anche quelli non configurati come colonne visibili, offrendo un elevato livello di personalizzazione per restringere il campo a ciò che si desidera visualizzare.
Tra gli strumenti ausiliari, spiccano l' albero dei processi , che mostra la relazione tra tutti i processi presenti in una traccia; i tooltip e le informazioni dettagliate sui processi, che consentono di visualizzare campi estesi in finestre a comparsa senza sovraccaricare la visualizzazione principale; e una funzione di ricerca nel log, annullabile, per individuare stringhe specifiche senza bloccare l'interfaccia.
Process Monitor include anche una modalità di registrazione all'avvio , che cattura le operazioni dalle fasi iniziali dell'avvio di Windows. Per chi si occupa di risolvere problemi di avvio, diagnosticare malfunzionamenti delle applicazioni o cercare malware, Process Monitor diventa spesso uno strumento indispensabile.
Process Explorer e Process Monitor nell'analisi forense e nella caccia al malware
Gli strumenti Sysinternals sono particolarmente utili quando sospettiamo che un sistema sia stato compromesso e vogliamo scoprire quali processi utilizza il malware e come interagiscono con il sistema . Non si tratta sempre di raccogliere prove per un processo; spesso vogliamo semplicemente capire immediatamente cosa sta succedendo su una macchina per poter agire tempestivamente.
Il primo passo è solitamente assicurarsi di aver installato o accessibile la suite Sysinternals, tramite un download locale o utilizzando Sysinternals Live. Una volta disponibile, troverete file eseguibili come Process Explorer (procexp.exe) e Process Monitor (procmon.exe) nella cartella appropriata, pronti per essere avviati senza installazioni complesse.
Con Process Explorer, puoi visualizzare tutti i processi e i thread attivi, il loro utilizzo di CPU e memoria, il PID, la descrizione e altri processi associati . Se sospetti un'infezione, spesso vedrai segnali inequivocabili: processi con nomi strani, posizioni insolite, eseguibili non firmati o processi che dipendono da processi padre sospetti.
In un contesto forense, Process Explorer diventa uno degli strumenti più preziosi di Sysinternals. Ad esempio, è possibile analizzare un processo specifico, come quello di un plugin del browser (Flash era un tempo un bersaglio tipico degli attacchi), che si sospetta sia stato compromesso. Aprendone le proprietà, si visualizzerà un pannello con numerose sezioni informative : percorso del file eseguibile, comandi di avvio, consumo di risorse, moduli caricati, permessi e così via.
Dalla scheda Autorizzazioni, puoi verificare chi ha accesso a quel processo . Se, oltre agli account previsti (Sistema, utente locale, servizi standard), visualizzi account sconosciuti o insoliti, potrebbe essere un segnale di manipolazione o persistenza malevola.
Un'altra caratteristica fondamentale è la scheda Stringhe, che consente di estrarre tutte le stringhe ASCII incorporate nel processo . Queste possono includere commenti lasciati dagli sviluppatori, percorsi di file, indirizzi web, comandi, messaggi di errore e altri dati molto utili per profilare il comportamento del binario analizzato.
Process Monitor completa questa analisi consentendo di visualizzare in dettaglio ogni operazione che il processo esegue su file, Registro di sistema e rete . È possibile filtrare la traccia per concentrarsi sul processo sospetto e osservare quali chiavi modifica, quali file legge o scrive e quali errori restituisce. Spesso, la combinazione di entrambi gli strumenti fornisce una visione sufficientemente chiara per identificare il vettore di attacco o il metodo di persistenza del malware.
Process Explorer in dettaglio: installazione, utilizzo e simboli
L'installazione di Process Explorer è semplice: basta eseguire il file procexp.exe . Essendo un'utilità portatile, non richiede una procedura guidata di installazione e non modifica in modo significativo il sistema. Il file di aiuto integrato spiega le opzioni e le modalità di utilizzo in modo piuttosto dettagliato.
In caso di dubbi o problemi con Process Explorer, Microsoft mette a disposizione una sezione specifica sulla sua piattaforma Domande e risposte (Microsoft Q&A) dedicata a questo strumento, dove altri utenti ed esperti condividono soluzioni, suggerimenti ed esperienze concrete relative a diversi scenari di utilizzo.
Per sfruttare al meglio le informazioni di debug, Process Explorer può utilizzare i simboli di debug . Quando si configura il percorso di DBGHELP.DLL e del server dei simboli (ad esempio, il server pubblico Microsoft), è importante che la cartella contenente DBGHELP.DLL contenga anche SYMSRV.DLL, ovvero la libreria che consente l'accesso a tali server.
La documentazione di SymSrv spiega più dettagliatamente come configurare questi percorsi di simboli e come lavorare con i server di simboli. Simboli configurati correttamente migliorano notevolmente la qualità degli stack di chiamate e le informazioni interne visualizzate su processi e DLL.
Process Explorer viene aggiornato con una certa frequenza. Nelle versioni più recenti, come la v16.43, mantiene la compatibilità con Windows 8.1 e versioni successive lato client e con Windows Server 2012 e versioni successive lato server. Questo lo rende uno strumento versatile, adatto ad ambienti misti con diverse versioni di Windows.
Process Monitor in dettaglio: filtraggio, colonne e scenari di utilizzo
Process Monitor viene distribuito anche come eseguibile autonomo. Una volta avviato, inizia a catturare gli eventi quasi istantaneamente, quindi è consigliabile impostare i filtri in anticipo per evitare di ritrovarsi con un'enorme quantità di dati ingestibile.
Ogni riga nella vista principale rappresenta un evento: quale processo lo ha originato, a che ora, quale operazione ha eseguito (lettura di file, scrittura nel Registro di sistema, creazione di processi, ecc.), su quale percorso, quale risultato ha restituito e dettagli aggiuntivi, come i parametri specifici di quella chiamata.
Lo strumento visualizza una grande quantità di informazioni per ogni evento: nome del processo, ora esatta, percorso completo della risorsa, risultato e dati specifici . Questa ricchezza di informazioni consente di diagnosticare qualsiasi problema, dagli errori di autorizzazione ai percorsi configurati in modo errato o alle DLL posizionate in modo errato.
Procmon integra una serie di filtri avanzati che è possibile definire praticamente per qualsiasi campo, combinando condizioni con operatori logici. Ciò consente, ad esempio, di concentrarsi esclusivamente sugli errori di accesso negato , sulle operazioni di scrittura a singolo processo o sulle letture di una specifica chiave di registro.
In caso di malware, Process Monitor ti aiuta a vedere esattamente cosa sta facendo il programma sospetto : dove tenta di scrivere, quali chiavi di registro utilizza per rimanere attivo all'avvio, quali file scarica o modifica e quali errori causa nel sistema. Tutto ciò viene registrato e può essere salvato per analisi successive o per documentare un incidente di sicurezza.
Come ulteriore vantaggio, gli stack di thread supportati dai simboli forniscono il contesto su quale funzione specifica di quale modulo ha originato ciascun evento, consentendo di raggiungere un livello di dettaglio molto elevato quando si analizza il comportamento interno di un'applicazione o di un componente di sistema.
Altri strumenti Sysinternals relativi a processi e sistemi
Sebbene Process Explorer e Process Monitor siano gli strumenti principali per l'analisi dei processi in Windows, la suite Sysinternals include molte altre utility che completano tale visualizzazione e contribuiscono alla diagnostica, alla sicurezza e alle prestazioni.
Handle è un visualizzatore di handle da riga di comando che permette di elencare i file e gli oggetti di sistema utilizzati da ciascun processo. È la versione da console delle informazioni sugli handle visualizzate in Process Explorer, molto utile per script e automazione.
ListDLLs mostra anche, dalla riga di comando, quali DLL sono state caricate da ciascun processo, il che è utile per rilevare moduli iniettati o librerie inattese all'interno di un eseguibile legittimo.
PsList e PsKill , parte della suite PsTools, consentono di elencare e terminare i processi sia in locale che in remoto. Strumenti da riga di comando come questi sono essenziali per gli amministratori che lavorano dalla console.
Sysmon (Monitoraggio di Sistema) è un servizio di sistema che, una volta installato, rimane attivo anche dopo i riavvii ed è dedicato al monitoraggio e alla registrazione dettagliata dell'attività di sistema . Registra la creazione di processi, le connessioni di rete, le modifiche ai file, l'accesso alla memoria tra processi, la creazione di thread remoti e altro ancora, il tutto integrandosi con i registri eventi di Windows.
Per visualizzare tutta l'attività delle porte di rete, TcpView elenca le connessioni TCP e UDP aperte in tempo reale, indicando gli indirizzi locali e remoti, lo stato della connessione e, nelle versioni più recenti di Windows, il nome del processo proprietario . È come una versione grafica migliorata di Netstat, eccellente per rilevare attività di rete sospette generate da malware o software non autorizzato.
Autoruns e altre utilità chiave della suite Sysinternals
Sebbene qui l'attenzione sia focalizzata sui processi, non si può parlare di Sysinternals senza menzionare gli strumenti che, pur non essendo strumenti di gestione dei processi in senso stretto, sono essenziali per controllare cosa viene eseguito su Windows e come.
Autoruns è la risorsa definitiva per esaminare e gestire tutto ciò che si avvia automaticamente con il sistema o la sessione utente. Va ben oltre MSConfig: visualizza i programmi nelle cartelle di avvio, le chiavi di registro Run e RunOnce, i servizi di avvio automatico, le estensioni della shell di Esplora risorse, le barre degli strumenti, gli oggetti della guida del browser, le notifiche di Winlogon e molto altro ancora.
Le informazioni sono organizzate in schede tematiche (Office, Stampanti, Winlogon, ecc.), che consentono di visualizzare l'origine di ogni voce di Autorun . Ogni riga include campi come il nome della voce (Voce di Autorun), una breve descrizione, l'editore (Editore), il percorso dell'immagine (Percorso immagine), la data e l'ora di installazione (Timestamp) e un indicatore di scansione di VirusTotal.
Nell'interfaccia, le voci rosa corrispondono in genere a file senza firma digitale o con una firma non verificabile: ciò può essere dovuto a certificati scaduti, programmi molto vecchi, file danneggiati o modifiche sospette. Le voci gialle indicano file che non esistono più o a cui lo strumento non può accedere , anche se il sistema continua a tentare di caricarli all'avvio. In questi casi, è consigliabile esaminare attentamente la voce prima di eliminare qualsiasi elemento e, per precauzione, è generalmente preferibile deselezionare la voce piuttosto che eliminarla.
Autoruns consente inoltre di confrontare le acquisizioni effettuate in momenti diversi per individuare le modifiche tra un'analisi e l'altra, il che è molto utile per rilevare nuove voci di avvio aggiunte da un programma o da un malware.
Tra gli altri strumenti Sysinternals più diffusi troviamo AccessEnum (per elencare le autorizzazioni di file, cartelle e chiavi di registro che differiscono da quelle della cartella principale), BGInfo (che visualizza i dati tecnici di sistema direttamente sullo sfondo del desktop), Contig (per deframmentare file specifici senza intervenire sull'intero disco), Desktops (per desktop virtuali anche nelle versioni precedenti di Windows), Disk2vhd (per convertire dischi fisici in file VHD per macchine virtuali) e ZoomIt , ampiamente utilizzato nelle presentazioni tecniche per ingrandire e disegnare sullo schermo tramite scorciatoie da tastiera.
Nell'ambito dell'amministrazione avanzata, PsTools offre una suite di utilità da riga di comando per la gestione locale e remota: modifica delle password, verifica degli utenti connessi, gestione di processi e servizi, esecuzione di comandi remoti (PsExec) e arresto del sistema. Molti di questi strumenti sono essenziali in ambienti aziendali in cui numerosi computer vengono gestiti tramite riga di comando.
Sviluppi recenti nell'ecosistema Sysinternals
Microsoft continua a mantenere e ampliare Sysinternals con aggiornamenti regolari. Recentemente, sono stati introdotti miglioramenti significativi a vari strumenti che influenzano direttamente o indirettamente l'analisi di processi e sistemi.
Ad esempio, ZoomIt ha raggiunto la versione 10.0 , aggiungendo un editor di clip video per tagliare le registrazioni prima del salvataggio e il supporto per l'acquisizione dell'audio di sistema. ZoomIt è stato anche integrato in Microsoft PowerToys, pur rimanendo un'utilità standalone su Sysinternals e diventando open source.
Nell'ambito del monitoraggio, Sysmon per Linux ha continuato a evolversi, integrando eventi come EbpfEvent per monitorare i carichi dei programmi eBPF, estendendo l'attenzione di Sysinternals oltre Windows agli ambienti Linux, un aspetto particolarmente interessante per i team misti.
Tra gli altri aggiornamenti degni di nota figurano Coreinfo, con un'interfaccia grafica per la visualizzazione delle topologie della CPU, della memoria NUMA e delle caratteristiche del processore; RDCMan , con miglioramenti alla sicurezza e supporto per il Desktop remoto moderno; e Ctrl2Cap , uno strumento che consente di rimappare il tasto Bloc Maiusc su Ctrl in Windows 10 e 11 senza bisogno di driver aggiuntivi.
Esiste persino un'estensione di Azure DevOps che integra gli strumenti Sysinternals nelle pipeline di compilazione e distribuzione, semplificando la risoluzione dei problemi di compilazione e di versione direttamente negli ambienti CI/CD, oltre a versioni di ProcDump e Sysmon adattate a Linux con supporto per architetture come ARM64.
Nel complesso, questo intero ecosistema fa sì che, una volta acquisita familiarità con Sysinternals, questi prodotti diventino compagni inseparabili di Task Manager e PowerToys , soprattutto per gli utenti esperti o per chi gestisce più computer.
La combinazione di Process Explorer e Process Monitor, insieme a strumenti come Autoruns, Sysmon e TcpView, consente di passare da "c'è qualcosa che non va e non so cosa sia" ad avere una visione molto precisa dei processi in esecuzione, di come interagiscono con Windows, a quali risorse accedono e quali tracce lasciano . Comprendere e padroneggiare queste utility non solo aiuta a risolvere problemi specifici, ma migliora anche la capacità di ottimizzare i servizi e le prestazioni e di mantenere i sistemi sotto controllo quotidianamente.
