- Sysinternals piedāvā uzlabotas utilītas procesu, failu, reģistra un tīkla analīzei operētājsistēmā Windows ar daudz detalizētāku informāciju nekā standarta rīki.
- Process Explorer un Process Monitor ir galvenie veiktspējas, kļūdu un ļaunprogrammatūras izpētē, pateicoties to padziļinātajai procesu, DLL, rokturu un notikumu pārskatīšanai.
- Ekosistēmu papildina tādi rīki kā Autoruns, TcpView, Sysmon un PsTools, kas ļauj kontrolēt automātisko startēšanu, tīkla savienojumus un lokālo vai attālo administrēšanu.
- Darbojoties, izmantojot Sysinternals Live, un bieži atjauninājumi padara komplektu par būtisku resursu administratoriem, izstrādātājiem un pieredzējušiem lietotājiem.
Ja jau kādu laiku lietojat Windows un konstatējat, ka uzdevumu pārvaldnieks nav pietiekams , lai pilnībā izprastu, kas īsti notiek ar jūsu sistēmu, Sysinternals ir tieši tas, ko meklējāt. Šis uzlaboto Microsoft utilītu komplekts ļauj detalizēti redzēt, kuri procesi darbojas, kuriem failiem tie piekļūst, kuras reģistra atslēgas tie modificē un pat kurus tīkla savienojumus tie atver.
Šie rīki pastāvēja ilgi pirms Microsoft tos ieviesa, un, lai gan daudzi no tiem paliek nepamanīti, tie ir īsts Šveices armijas nazis Windows procesu analīzei, kļūdu noteikšanai un ļaunprogrammatūras meklēšanai . Mēs detalizēti aplūkosim, kā izmantot Process Explorer, Process Monitor un citas uz procesiem orientētas Sysinternals utilītas, kas izskaidrotas skaidrā valodā un ar praktiskiem piemēriem.
Kas ir Sysinternals un kāpēc tas ir tik noderīgs procesu analīzei?
Sysinternals ir projekts, ko 1996. gadā izveidoja Marks Rusinovičs un Braiss Kogsvels, lai mitinātu mazus, uzlabotus diagnostikas rīkus, kas sākotnēji bija vērsti uz Windows NT, Windows 2000 un Windows XP. Sākotnējā vietne tika saukta par NTinternals, un tā bija paredzēta, lai parādītu operētājsistēmas iekšējo darbību, lai administratori un izstrādātāji varētu saprast, kas notiek "zem pārsega".
Desmit gadus vēlāk, 2006. gadā, Microsoft iegādājās projektu un integrēja to savā tīmekļa vietnē: kopš tā laika sysinternals.com novirza uz oficiālu Microsoft sadaļu . Tomēr būtība ir palikusi nemainīga: mazas, vieglas, pārsvarā pārnēsājamas utilītas (vienkārši nokopējiet, palaidiet un viss), kuras tiek regulāri atjauninātas, paplašinātas un pilnveidotas.
Šie rīki galvenokārt ir paredzēti sistēmu administratoriem, IT speciālistiem un izstrādātājiem , taču jebkurš pieredzējis lietotājs no tiem var gūt lielu labumu. Tie ļauj izprast, konfigurēt un pārvaldīt ļoti specifiskus Windows aspektus: sākot no tā, kas darbojas startēšanas laikā, līdz tam, kuri procesi patērē centrālo procesoru, kuri DLL tiek ielādēti un kuri tīkla porti tiek izmantoti.
Pilnajā komplektā ir iekļautas vairāk nekā 70 utilītas, un tas ir pieejams arī Microsoft veikalā kā Sysinternals Suite . Instalējot to no veikala, netiks parādīta viena “lietotnes” ikona; tā vietā jūs saņemsiet izpildāmo failu un dokumentācijas kolekciju, ko varat palaist, meklējot katru rīku pēc nosaukuma vai pārejot uz tā atrašanās vietu.
Sysinternals Live: Palaidiet rīkus, tos neinstalējot
Viena no šīs utilītu saimes galvenajām priekšrocībām ir Sysinternals Live — pakalpojums, kas ļauj palaist rīkus tieši no tīkla, manuāli neko nelejupielādējot un neatzipējot diskā.
Lai to izmantotu no failu pārlūka, vienkārši ierakstiet rīka ceļu, izmantojot Sysinternals Live domēnu, piemēram: live.sysinternals.com/<toolname> vai UNC maršruts \\live.sysinternals.com\tools\<toolname>Tādā veidā Windows atvērs izpildāmo failu tieši no Microsoft koplietošanas mapes.
Ja vēlaties konsoli, varat palaist jebkuru utilītu ar līdzīgu ceļu: \\live.sysinternals.com\tools\<toolname>Tas pasargā no nepieciešamības pārvaldīt lokālās versijas un nodrošina, ka vienmēr izmantojat katra rīka jaunāko versiju.
Lai izpētītu visu pieejamo, pārlūkprogrammā vai Windows Explorer varat atvērt https://live.sysinternals.com/ , kur redzēsiet pilnu Sysinternals Live rīku direktoriju, kas ir gatavi lietošanai.
Process Explorer: “Uzlādētais uzdevumu pārvaldnieks”
Process Explorer, iespējams, ir Sysinternals pazīstamākais rīks, kad runa ir par Windows procesiem . Tā mērķis ir daudz detalizētāk nekā uzdevumu pārvaldnieks parādīt, kas darbojas sistēmā, kā procesi mijiedarbojas un kādus resursus tie izmanto jebkurā laikā, lai optimizētu veiktspēju.
Procesu pārlūka saskarne ir sadalīta divos galvenajos apakšlogos. Augšpusē vienmēr tiek parādīts visu aktīvo procesu saraksts , kas parasti ir sakārtots koka struktūrā, lai parādītu vecāku un bērnu procesus, kā arī datus, piemēram, programmas aprakstu, uzņēmumu, procesa identifikatoru (PID), centrālā procesora izmantošanu, atmiņas izmantošanu utt. Tiek parādīti arī to lietotāju kontu nosaukumi, kuriem pieder katrs process.
Apakšējais logs var darboties divos režīmos: rokturu režīmā un DLL režīmā. Rokturu režīmā jūs redzēsiet rokturus, ko atlasītais process ir atvēris (failus, reģistra atslēgas, sistēmas objektus utt.). DLL režīmā tas parāda dinamiskās saites bibliotēkas un atmiņā kartētos failus , ko process ir ielādējis. Tas ir ļoti svarīgi, lai atrastu, kuru failu lietojumprogramma bloķē vai kurš aizdomīgs modulis ir ievadīts likumīgā procesā.
Process Explorer ietver arī jaudīgu meklēšanas funkciju, kas ļauj atrast, kurš process tur atvērtu konkrētu failu vai DLL . Ievadot nosaukumu vai nosaukuma daļu, uzreiz tiek parādīts iesaistīto procesu saraksts — tas ir ļoti noderīgi, ja Windows neļauj izdzēst failu, "jo tas tiek izmantots" un vēlaties zināt, kas to glabā.
Vēl viena priekšrocība ir digitālā paraksta verifikācija . Izmantojot opciju “Pārbaudīt”, varat pārbaudīt, vai atmiņā ielādētajiem izpildāmajiem failiem un DLL ir derīgs ražotāja paraksts. Tas palīdz atšķirt likumīgus procesus no potenciāli manipulētiem vai neparakstītiem binārajiem failiem, kas ir ļoti izplatīta ļaunprogrammatūrā vai vecākās, vairs neuzturētās programmās.
Rīks izmanto arī krāsas, lai vizuāli raksturotu procesus : sistēmas pakalpojumus, procesus Windows Explorer kontekstā, pakotnes lietojumprogrammas utt. Ātrs skatiens uz nosaukumu un krāsu kolonnu ļauj redzēt, kā izskatās katrs elements, sākumā neiedziļinoties pārāk detaļās.
Turklāt Process Explorer piedāvā laika skalas skatu, kas grafiski parāda katra procesa sākšanas laiku . Drošības incidentu vai anomālas uzvedības analīzē šī funkcija palīdz precīzi noteikt aizdomīgas darbības sākumu un to, kā tā ir saistīta ar citiem procesiem, kas sākti tajā pašā laika posmā.
Šī utilitāte ir ideāli piemērota DLL versiju problēmu izsekošanai , rokturu noplūžu (rokturu, kas nekad netiek izlaisti) noteikšanai un kopumā, lai labāk izprastu, kā Windows darbojas iekšēji un ko jūsu lietojumprogrammas faktiski dara.
Procesu monitors: failu, žurnālu un procesu rentgena pārskats reāllaikā
Process Monitor (Procmon) ir vēl viena svarīga Sysinternals ekosistēmas sastāvdaļa. Tas ir uzlabots uzraudzības rīks, kas reāllaikā parāda visu failu sistēmas aktivitāti, Windows reģistra aktivitāti un darbojošos procesus vai pavedienus.
Tas apvieno un pārspēj vecāku Filemon un Regmon utilītu funkcijas, pievienojot virkni uzlabojumu, kas paredzēti visaptverošai izsekojamībai, nezaudējot nekādu informāciju . Starp ievērojamākajām funkcijām ir ļoti elastīga un nesagraujoša filtrēšanas sistēma: varat lietot, pielāgot un noņemt filtrus acumirklī, nezaudējot nevienu jau uztverto notikumu.
Katram reģistrētajam notikumam ir redzamas visaptverošas īpašības, tostarp sesijas ID, lietotājvārdi, procesa attēla ceļš , komandrinda, no kuras tas tika palaists, procesa un pavediena ID un daudz kas cits. Katrai darbībai ir iespējams tvert pavedienu stekus, izmantojot iebūvēto simbolu atbalstu, kas palīdz noteikt konkrētā izsaukuma pamatcēloni.
Iekšējā reģistrēšanas arhitektūra ir izstrādāta tā, lai tā būtu ļoti labi mērogojama pat lielas slodzes apstākļos: tā spēj apstrādāt desmitiem miljonu notikumu un gigabaitu žurnāldatu bez aizķeršanās, kas ir svarīgi, ja vēlaties turpināt informācijas uztveršanu pilnas sistēmas palaišanas laikā vai periodiskas kļūmes gadījumā, kuru ir grūti reproducēt.
Process Monitor ļauj ierakstīt aktivitātes tieši failā vietējā žurnāla formātā , kas saglabā visu informāciju vēlākai ielādei citā rīka instancē. Tas ir ļoti noderīgi kriminālistikas vai tehniskā atbalsta vidē: jūs fiksējat problēmu lietotāja datorā un vēlāk analizējat rezultātus savā datorā.
Saskarnē ir iekļautas konfigurējamas un ritināmas kolonnas praktiski jebkuram notikuma rekvizītam. Filtrus var izveidot arī, pamatojoties uz jebkuru lauku, pat tiem, kas nav konfigurēti kā redzamas kolonnas, piedāvājot plašas pielāgošanas iespējas, lai precīzi sašaurinātu to, kas jums jāredz.
Starp palīgrīkiem izceļas procesu koks , kas parāda saistību starp visiem izsekošanas procesā esošajiem procesiem; procesa rīkjoslas padomi un detalizēta informācija, kas ļauj skatīt plašus laukus uznirstošos logos, nepārslogojot galveno skatu; un atceļama žurnāla meklēšana, lai atrastu noteiktas virknes, nebloķējot saskarni.
Process Monitor ietver arī sāknēšanas laika reģistrēšanas režīmu , kas fiksē darbības no Windows startēšanas sākotnējiem posmiem. Tiem, kas novērš sāknēšanas problēmas, diagnosticē lietojumprogrammu kļūmes vai meklē ļaunprogrammatūru, Process Monitor bieži vien kļūst par neaizstājamu rīku viņu rīku komplektā.
Process Explorer un Process Monitor forenzikas analīzē un ļaunprogrammatūras medībās
Sysinternals rīki ir īpaši noderīgi, ja mums ir aizdomas, ka sistēma ir apdraudēta, un vēlamies noskaidrot, kādus procesus ļaunprogrammatūra izmanto un kā tie mijiedarbojas ar sistēmu . Ne vienmēr runa ir par pierādījumu vākšanu tiesas procesam; bieži vien mēs vienkārši vēlamies nekavējoties saprast, kas notiek ierīcē, lai varētu ātri rīkoties.
Pirmais solis parasti ir pārliecināties, ka Sysinternals komplekts ir instalēts vai tam ir piekļuve, vai nu lejupielādējot to lokāli, vai izmantojot Sysinternals Live. Kad tas būs pieejams, atbilstošajā mapē atradīsiet tādus izpildāmos failus kā Process Explorer (procexp.exe) un Process Monitor (procmon.exe), kurus varēsiet palaist bez sarežģītas instalēšanas.
Izmantojot Process Explorer, varat redzēt visus aktīvos procesus un pavedienus, to centrālā procesora un atmiņas izmantošanu, PID, aprakstu un citus saistītos procesus . Ja jums ir aizdomas par infekciju, bieži vien redzēsiet skaidras pazīmes: procesus ar dīvainiem nosaukumiem, neparastas atrašanās vietas, neparakstītus izpildāmos failus vai procesus, kas ir atkarīgi no aizdomīgiem vecāku procesiem.
Kriminālistikas kontekstā Process Explorer kļūst par vienu no Sysinternals vērtīgākajiem rīkiem. Piemēram, varat analizēt konkrētu procesu, piemēram, pārlūkprogrammas spraudņa procesu (Flash kādreiz bija tipisks uzbrukumu mērķis), par kuru jums ir aizdomas, ka tas ir apdraudēts. Atverot tā īpašības, redzēsiet paneli ar daudzām informācijas sadaļām : ceļš uz izpildāmo failu, startēšanas komandas, resursu patēriņš, ielādētie moduļi, atļaujas utt.
Atļauju cilnē varat pārbaudīt, kam ir piekļuve šim procesam . Ja papildus paredzētajiem kontiem (sistēma, lokālais lietotājs, standarta pakalpojumi) redzat nezināmus vai neparastus kontus, tas varētu liecināt par manipulācijām vai ļaunprātīgu izmantošanu.
Vēl viena svarīga funkcija ir cilne “Virknes”, kas ļauj iegūt visas procesā iegultās ASCII virknes . Tās var ietvert izstrādātāju atstātos komentārus, failu ceļus, tīmekļa adreses, komandas, kļūdu ziņojumus un citus datus, kas ir ļoti noderīgi analizētā binārā faila uzvedības profilēšanai.
Process Monitor papildina šo analīzi, ļaujot detalizēti redzēt katru darbību, ko process veic ar failiem, reģistru un tīklu . Varat filtrēt izsekošanas datus, lai koncentrētos uz aizdomīgo procesu un novērotu, kurām atslēgām tas pieskaras, kurus failus tas lasa vai raksta un kādas kļūdas tas atgriež. Bieži vien abu rīku kombinācija sniedz pietiekami skaidru priekšstatu, lai identificētu uzbrukuma vektoru vai ļaunprogrammatūras noturības metodi.
Process Explorer detalizēti: instalēšana, lietošana un simboli
Process Explorer instalēšana ir vienkārša: vienkārši palaidiet failu procexp.exe . Kā pārnēsājama utilīta, tai nav nepieciešams instalēšanas vednis un tā agresīvi nemaina jūsu sistēmu. Iebūvētajā palīdzības failā ir diezgan detalizēti izskaidrotas opcijas un lietošanas režīmi.
Ja rodas šaubas vai problēmas ar Process Explorer, Microsoft savā jautājumu un atbilžu (Microsoft Q&A) platformā uztur īpašu sadaļu , kas veltīta šim rīkam, kur citi lietotāji un eksperti dalās risinājumos, padomos un reālās pasaules pieredzē ar dažādiem lietošanas scenārijiem.
Lai maksimāli izmantotu atkļūdošanas informāciju, Process Explorer var izmantot atkļūdošanas simbolus . Konfigurējot ceļu uz DBGHELP.DLL un simbolu serveri (piemēram, Microsoft publisko serveri), ir svarīgi, lai mapē, kurā atrodas DBGHELP.DLL, būtu arī SYMSRV.DLL, kas ir bibliotēka, kas nodrošina piekļuvi šiem serveriem.
SymSrv dokumentācijā ir sīkāk paskaidrots, kā konfigurēt šos simbolu ceļus un kā strādāt ar simbolu serveriem. Pareizi konfigurēti simboli ievērojami uzlabo izsaukumu steku kvalitāti un iekšējo informāciju, kas tiek parādīta par procesiem un DLL.
Process Explorer tiek atjaunināts samērā bieži. Jaunākās versijās, piemēram, v16.43, tas saglabā saderību ar Windows 8.1 un jaunākām versijām klienta pusē un Windows Server 2012 un jaunākām versijām servera pusē. Tas padara to par daudzpusīgu rīku, kas piemērots jauktām vidēm ar dažādām Windows versijām.
Process Monitor detalizēti: filtrēšana, kolonnas un lietošanas scenāriji
Process Monitor tiek izplatīts arī kā atsevišķs izpildāmais fails. Pēc palaišanas tas gandrīz nekavējoties sāk tvert notikumus, tāpēc ieteicams filtrus iestatīt jau laikus, lai izvairītos no neskaitāma datu okeāna iegūšanas.
Katra galvenā skata rinda attēlo notikumu: kāds process to izraisīja, kurā laikā, kādu darbību tas veica (faila lasīšana, reģistra rakstīšana, procesa izveide utt.), kādā ceļā, kādu rezultātu tas atgrieza, kā arī papildu informāciju, piemēram, konkrētos šī izsaukuma parametrus.
Rīks par katru notikumu parāda plašu informāciju: procesa nosaukumu, precīzu laiku, pilnu resursa ceļu, rezultātu un konkrētus datus . Šī bagātīgā informācija ļauj diagnosticēt visu, sākot no atļauju kļūdām līdz nepareizi konfigurētiem ceļiem vai nepareizi novietotām DLL.
Procmon integrē virkni uzlabotu filtru, kurus var definēt praktiski jebkurā laukā, apvienojot nosacījumus ar loģiskajiem operatoriem. Tas ļauj, piemēram, koncentrēties tikai uz piekļuves liegšanas kļūdām , viena procesa rakstīšanas operācijām vai noteiktas reģistra atslēgas nolasīšanu.
Ļaunprogrammatūras gadījumos Process Monitor palīdz precīzi redzēt, ko dara aizdomīgā programma : kur tā mēģina rakstīt, kuras reģistra atslēgas tā izmanto, lai paliktu aktīva startēšanas laikā, kurus failus tā lejupielādē vai modificē un kādas kļūdas tā rada sistēmā. Tas viss tiek reģistrēts un var tikt saglabāts vēlākai analīzei vai drošības incidenta dokumentēšanai.
Kā papildu bonuss simbolu atbalstītie pavedienu steki sniedz kontekstu par to, kura konkrētā moduļa funkcija izraisīja katru notikumu, ļaujot sasniegt ļoti precīzu detalizācijas līmeni, pētot lietojumprogrammas vai sistēmas komponenta iekšējo darbību.
Citi Sysinternals rīki, kas saistīti ar procesiem un sistēmām
Lai gan Process Explorer un Process Monitor ir galvenās Windows procesu analīzes programmas, Sysinternals komplektā ir iekļautas daudzas citas utilītas, kas papildina šo skatu un palīdz diagnostikā, drošībā un veiktspējā.
“Handle” ir komandrindas “Handle” skatītājs, kas ļauj uzskaitīt, kurus sistēmas failus un objektus izmanto katrs process. Tā ir konsoles versija ar “Handle” informāciju, ko redzat “Process Explorer”, un tā ir ļoti noderīga skriptēšanai un automatizācijai.
ListDLLs arī komandrindā parāda, kurus DLL failus katrs process ir ielādējis, kas ir noderīgi, lai atklātu ievadītos moduļus vai negaidītas bibliotēkas likumīgā izpildāmā failā.
PsList un PsKill , kas ir daļa no PsTools komplekta, ļauj uzskaitīt un pārtraukt procesus gan lokāli, gan attālināti. Šādi komandrindas rīki ir svarīgi administratoriem, kas strādā no konsoles.
Sysmon (System Monitor) ir sistēmas pakalpojums, kas pēc instalēšanas paliek aktīvs arī pēc restartēšanas un ir paredzēts sistēmas aktivitāšu detalizētai uzraudzībai un reģistrēšanai . Tas reģistrē procesu izveidi, tīkla savienojumus, failu modifikācijas, starpprocesu atmiņas piekļuvi, attālinātu pavedienu izveidi un citus notikumus, vienlaikus integrējoties ar Windows notikumu žurnāliem.
Lai skatītu visu tīkla portu aktivitāti, TcpView reāllaikā uzskaita atvērtos TCP un UDP savienojumus, norādot lokālās un attālās adreses, savienojuma statusu un, modernajās Windows versijās, īpašnieka procesa nosaukumu . Tas ir kā uzlabota, grafiska Netstat versija, kas ir lieliski piemērota aizdomīgu tīkla aktivitāšu noteikšanai, ko rada ļaunprogrammatūra vai neatļauta programmatūra.
Automātiskās palaišanas un citas Sysinternals komplekta galvenās utilītas
Lai gan šeit uzmanības centrā ir procesi, nevar runāt par Sysinternals, nepieminot rīkus, kas, lai gan nav tikai procesu rīki, ir būtiski, lai kontrolētu, kas darbojas operētājsistēmā Windows un kā.
Autoruns ir galvenais resurss, lai pārskatītu un pārvaldītu visu, kas automātiski startējas līdz ar sistēmu vai lietotāja sesiju. Tas sniedzas daudz tālāk par MSConfig: tas parāda programmas startēšanas mapēs, Run un RunOnce reģistra atslēgās, automātiskās startēšanas pakalpojumos, Explorer čaulas paplašinājumos, rīkjoslās, pārlūkprogrammas palīdzības objektos, Winlogon paziņojumos un daudz ko citu.
Informācija ir sakārtota tematiskās cilnēs (Birojs, Printeri, Winlogon utt.), ļaujot redzēt katras automātiskās startēšanas ieraksta avotu . Katrā rindā ir iekļauti tādi lauki kā ieraksta nosaukums (Automātiskās startēšanas ieraksts), īss apraksts, izdevējs (Publisher), attēla ceļš (Image Path), instalēšanas datums un laiks (Timestamp) un VirusTotal skenēšanas indikators.
Saskarnē rozā ieraksti parasti atbilst failiem bez digitālā paraksta vai ar parakstu, ko nevarēja pārbaudīt: tas varētu būt saistīts ar beidzies sertifikātu derīguma termiņš, ļoti vecām programmām, bojātiem failiem vai aizdomīgām modifikācijām. Dzeltenie ieraksti norāda failus, kas vairs nepastāv vai kuriem rīks nevar piekļūt , pat ja sistēma turpina mēģināt tos ielādēt startēšanas laikā. Šādos gadījumos pirms jebkādu vienumu dzēšanas ieteicams rūpīgi pārskatīt ierakstu, un piesardzības nolūkos parasti vislabāk ir noņemt atzīmi no ieraksta, nevis to dzēst.
Autoruns arī ļauj salīdzināt dažādos laikos uzņemtos attēlus, lai redzētu, kas ir mainījies starp vienu analīzi un otru, kas ir ļoti noderīgi, lai atklātu jaunus startēšanas ierakstus, ko pievienojusi programma vai ļaunprogrammatūra.
Citi populāri Sysinternals rīki ir AccessEnum (failu, mapju un reģistra atslēgu atļauju, kas atšķiras no to vecākmapes atļaujām, uzskaitīšanai), BGInfo (kas tehniskos sistēmas datus parāda tieši darbvirsmas fonā), Contig (konkrētu failu defragmentēšanai, nepieskaroties visam diskam), Desktops (virtuālie darbvirsmas arī vecākās Windows versijās), Disk2vhd (fizisko disku konvertēšanai VHD failos virtuālajām mašīnām) un ZoomIt , ko plaši izmanto tehniskās prezentācijās tālummaiņai un zīmēšanai ekrānā, izmantojot īsinājumtaustiņus.
Paplašinātās administrēšanas jomā PsTools piedāvā komandrindas utilītu komplektu lokālai un attālinātai pārvaldībai: paroles maiņai, pieteikto lietotāju pārbaudei, procesu un pakalpojumu pārvaldībai, attālinātai komandu izpildei (PsExec) un sistēmas izslēgšanai. Daudzi no šiem rīkiem ir nepieciešami korporatīvajā vidē, kur daudzi datori tiek pārvaldīti no komandrindas.
Jaunākās norises Sysinternals ekosistēmā
Microsoft turpina uzturēt un paplašināt Sysinternals ar regulāriem atjauninājumiem. Nesen ir ieviesti būtiski uzlabojumi dažādos rīkos, kas tieši vai netieši ietekmē procesu un sistēmu analīzi.
Piemēram, ZoomIt ir sasniedzis 10.0 versiju , pievienojot videoklipu redaktoru ierakstu apgriešanai pirms saglabāšanas un atbalstu sistēmas audio ierakstīšanai. ZoomIt ir integrēts arī Microsoft PowerToys, vienlaikus saglabājot savu kā atsevišķu utilītu Sysinternals platformā un kļūstot par atvērtā pirmkoda utilītu.
Uzraudzības jomā Sysmon for Linux ir turpinājis attīstīties, iekļaujot tādus notikumus kā EbpfEvent, lai uzraudzītu eBPF programmu ielādes, paplašinot Sysinternals fokusu ārpus Windows uz Linux vidēm, kas ir īpaši interesanti jauktām komandām.
Citi ievērojami atjauninājumi ietver Coreinfo ar grafisku saskarni CPU topoloģiju, NUMA atmiņas un procesora raksturlielumu vizualizēšanai; RDCMan ar drošības uzlabojumiem un modernu attālās darbvirsmas atbalstu; un Ctrl2Cap — rīku, kas palīdz pārveidot Caps Lock taustiņu par Ctrl taustiņu operētājsistēmās Windows 10 un 11 bez papildu draiveru nepieciešamības.
Ir pat Azure DevOps paplašinājums , kas integrē Sysinternals rīkus būvēšanas un izvietošanas procesos, atvieglojot būvēšanas un versiju problēmu novēršanu tieši CI/CD vidēs, kā arī Linux pielāgotas ProcDump un Sysmon versijas ar atbalstu tādām arhitektūrām kā ARM64.
Kopumā visa šī ekosistēma nozīmē, ka, tiklīdz pierod strādāt ar Sysinternals, tie kļūst par neatņemamiem Task Manager un PowerToys pavadoņiem , īpaši, ja esat pieredzējis lietotājs vai pārvaldāt vairākus datorus.
Process Explorer un Process Monitor kombinācija kopā ar tādiem rīkiem kā Autoruns, Sysmon un TcpView ļauj pāriet no "kaut kas nav kārtībā, un es nezinu, kas tas ir", lai iegūtu ļoti precīzu priekšstatu par to, kuri procesi darbojas, kā tie mijiedarbojas ar Windows, kādiem resursiem tie piekļūst un kādas pēdas tie atstāj . Šo utilītu izpratne un apgūšana ne tikai palīdz risināt konkrētas problēmas, bet arī uzlabo spēju optimizēt pakalpojumus un veiktspēju , kā arī ikdienā kontrolēt savas sistēmas.
