- Sysinternals tilbyr avanserte verktøy for å analysere prosesser, filer, registeret og nettverket i Windows med mye mer detaljer enn standardverktøy.
- Process Explorer og Process Monitor er nøkkelen til å undersøke ytelse, feil og skadelig programvare, takket være deres dyptgående oversikt over prosesser, DLL-er, referanser og hendelser.
- Verktøy som Autoruns, TcpView, Sysmon og PsTools kompletterer økosystemet, og gir kontroll over automatiske oppstarter, nettverkstilkoblinger og lokal eller ekstern administrasjon.
- Kjører via Sysinternals Live og hyppige oppdateringer gjør suiten til en viktig ressurs for administratorer, utviklere og avanserte brukere.
Hvis du har brukt Windows en stund og synes at Oppgavebehandling ikke er nok til å forstå hva som egentlig skjer med systemet ditt, er Sysinternals akkurat det du har lett etter. Denne pakken med avanserte Microsoft-verktøy lar deg se i detalj hvilke prosesser som kjører, hvilke filer de åpner, hvilke registernøkler de endrer og til og med hvilke nettverkstilkoblinger de åpner.
Disse verktøyene eksisterte lenge før Microsoft tok dem i bruk, og selv om mange går ubemerket hen, er de en ekte sveitsisk lommekniv for å analysere Windows-prosesser, oppdage feil og jakte på skadelig programvare . Vi skal se nærmere på hvordan du kan utnytte Process Explorer, Process Monitor og de andre prosessfokuserte Sysinternals-verktøyene, forklart på et klart språk og med praktiske eksempler.
Hva er Sysinternals, og hvorfor er det så nyttig for å analysere prosesser?
Sysinternals er et prosjekt opprettet i 1996 av Mark Russinovich og Bryce Cogswell for å være vert for små, avanserte diagnostiske verktøy, opprinnelig fokusert på Windows NT, Windows 2000 og Windows XP. Det opprinnelige nettstedet het NTinternals og var designet for å vise hvordan operativsystemet fungerer, slik at administratorer og utviklere kunne forstå hva som skjedde «under panseret».
Ti år senere, i 2006, kjøpte Microsoft opp prosjektet og integrerte det i sitt eget nettsted: siden den gang omdirigerer sysinternals.com til en offisiell Microsoft-seksjon . Likevel har ånden holdt seg: små, lette, for det meste bærbare verktøy (bare kopier, kjør, og du er ferdig), som fortsetter å bli oppdatert, utvidet og forbedret ofte.
Disse verktøyene er primært utviklet for systemadministratorer, IT-fagfolk og utviklere , men enhver avansert bruker kan ha stor nytte av dem. De lar deg forstå, konfigurere og administrere svært spesifikke aspekter ved Windows: fra hva som kjører ved oppstart til hvilke prosesser som bruker CPU, hvilke DLL-er som lastes inn og hvilke nettverksporter som brukes.
Den komplette pakken inneholder over 70 verktøy og er også tilgjengelig i Microsoft Store som Sysinternals Suite . Hvis du installerer den fra butikken, får du ikke et eneste "app"-ikon; i stedet får du en samling kjørbare filer og dokumentasjon, som du kan starte ved å søke etter hvert verktøy etter navn eller navigere til plasseringen.
Sysinternals Live: Kjør verktøy uten å installere dem
En av hovedfordelene med denne verktøyserien er Sysinternals Live , en tjeneste som lar deg kjøre verktøyene direkte fra nettverket, uten å måtte laste ned og pakke ut noe manuelt til disken.
For å bruke det fra Filutforsker, skriver du bare verktøyets sti ved hjelp av Sysinternals Live-domenet, for eksempel: live.sysinternals.com/<toolname> eller UNC-ruten \\live.sysinternals.com\tools\<toolname>På denne måten åpner Windows den kjørbare filen direkte fra Microsoft-delingen.
Hvis du foretrekker konsollen, kan du starte et hvilket som helst verktøy med en lignende bane: \\live.sysinternals.com\tools\<toolname>Dette sparer deg for å måtte administrere lokale versjoner og sikrer at du alltid bruker den nyeste versjonen av hvert verktøy.
For å utforske alt som er tilgjengelig, kan du åpne https://live.sysinternals.com/ i nettleseren din eller Windows Utforsker , der du ser den komplette katalogen med Sysinternals Live-verktøy klare til bruk.
Prosessutforsker: Den «superladede oppgavebehandleren»
Process Explorer er uten tvil Sysinternals' mest kjente verktøy når det gjelder Windows-prosesser . Hensikten er å vise, i mye større detalj enn Oppgavebehandling, hva systemet kjører, hvordan prosesser samhandler og hvilke ressurser de bruker til enhver tid, for å optimalisere ytelsen.
Prosessutforsker-grensesnittet er delt inn i to hovedundervinduer. Øverst vises alltid en liste over alle aktive prosesser , vanligvis organisert i en trestruktur for å vise foreldre- og underprosesser, sammen med data som programbeskrivelse, firma, prosessidentifikator (PID), CPU-bruk, minnebruk osv. Navnene på brukerkontoene som eier hver prosess vises også.
Det nedre vinduet kan operere i to moduser: håndtaksmodus og DLL-modus. I håndtaksmodus ser du håndtakene som den valgte prosessen har åpne (filer, registernøkler, systemobjekter osv.). I DLL-modus viser den dynamiske lenkebibliotekene og minnetilordnede filer som prosessen har lastet inn. Dette er avgjørende for å finne hvilken fil et program låser eller hvilken mistenkelig modul som har blitt injisert i en legitim prosess.
Prosessutforsker inkluderer også en kraftig søkefunksjon som lar deg finne hvilken prosess som holder en bestemt fil eller DLL åpen . Du skriver inn navnet eller deler av navnet og får umiddelbart en liste over de involverte prosessene – veldig nyttig når Windows ikke lar deg slette en fil «fordi den er i bruk» og du vil vite hvem som holder den.
En annen styrke er verifisering av digital signatur . Ved å bruke alternativet «Verifiser» kan du sjekke om kjørbare filer og DLL-er som er lastet inn i minnet har en gyldig signatur fra produsenten. Dette bidrar til å skille legitime prosesser fra potensielt manipulerte eller usignerte binærfiler, noe som er veldig vanlig i skadelig programvare eller eldre programmer som ikke lenger vedlikeholdes.
Verktøyet bruker også farger for å visuelt karakterisere prosesser : systemtjenester, prosesser i konteksten av Windows Utforsker, pakkede applikasjoner osv. Et raskt blikk på kolonnen med navn og farger lar deg se hvordan hvert element ser ut uten å måtte gå for mye inn i detaljer først.
I tillegg tilbyr Process Explorer en tidslinjevisning som grafisk viser når hver prosess startet . I analyse av sikkerhetshendelser eller avvikende atferd hjelper denne funksjonen med å finne ut når mistenkelig aktivitet startet og hvordan den relaterer seg til andre prosesser som ble startet innenfor samme tidsramme.
Verktøyet er ideelt for å spore opp DLL-versjonsproblemer, håndtere lekkasjer (håndtak som aldri slippes), og generelt for bedre å forstå hvordan Windows fungerer internt og hva applikasjonene dine faktisk gjør.
Prosessmonitor: røntgenbilde av filer, logger og prosesser i sanntid
Prosessmonitor (Procmon) er en annen nøkkelkomponent i Sysinternals-økosystemet. Det er et avansert overvåkingsverktøy som viser all filsystemaktivitet, Windows-registeraktivitet og kjørende prosesser eller tråder i sanntid.
Den kombinerer og overgår funksjonene til de eldre Filemon- og Regmon-verktøyene, og legger til en lang liste med forbedringer designet for omfattende sporbarhet uten å miste informasjon . Blant de mest bemerkelsesverdige funksjonene er et svært fleksibelt og ikke-destruktivt filtreringssystem: du kan bruke, justere og fjerne filtre på sparket uten å miste hendelser som allerede er registrert.
Hver loggede hendelse viser omfattende egenskaper, inkludert økt-ID-er, brukernavn, prosessbildebane , kommandolinjen den ble startet fra, prosess- og tråd-ID-er og mye mer. For hver operasjon er det mulig å fange opp trådstabler med innebygd symbolstøtte, noe som bidrar til å finne rotårsaken til et gitt kall.
Den interne loggarkitekturen er designet for å skaleres svært godt selv under tung belastning: den er i stand til å håndtere titalls millioner hendelser og gigabyte med loggdata uten å svikte, noe som er viktig når du vil fortsette å registrere informasjon under en fullstendig systemoppstart eller i tilfelle en periodisk feil som er vanskelig å reprodusere.
Med Process Monitor kan du registrere aktivitet direkte til en fil i et innebygd loggformat som bevarer alle detaljene for senere lasting i en annen instans av verktøyet. Dette er svært nyttig i rettsmedisinske eller tekniske støttemiljøer: du registrerer problemet på brukerens maskin og analyserer resultatene senere på din egen datamaskin.
Grensesnittet inkluderer konfigurerbare og rullbare kolonner for så å si alle hendelsesegenskaper. Filtre kan også opprettes basert på ethvert felt, selv de som ikke er konfigurert som synlige kolonner, noe som gir et stort nivå av tilpasning for å snevre inn nøyaktig hva du trenger å se.
Blant hjelpeverktøyene skiller prosesstreet seg ut , som viser forholdet mellom alle prosessene som finnes i et spor; prosessverktøytips og detaljinformasjon, som tillater visning av omfattende felt i popup-vinduer uten å mette hovedvisningen; og et avbrytbart loggsøk for å finne bestemte strenger uten å blokkere grensesnittet.
Process Monitor inkluderer også en oppstartstidsloggingsmodus , som registrerer operasjoner fra de første stadiene av Windows-oppstart. For de som feilsøker oppstartsproblemer, diagnostiserer programfeil eller søker etter skadelig programvare, blir Process Monitor ofte et uunnværlig verktøy i verktøysettet deres.
Process Explorer og Process Monitor i rettsmedisinsk analyse og jakt på skadelig programvare
Sysinternals-verktøy er spesielt nyttige når vi mistenker at et system har blitt kompromittert og ønsker å finne ut hvilke prosesser skadevaren bruker og hvordan de samhandler med systemet . Det handler ikke alltid om å samle bevis for en rettssak; ofte ønsker vi bare å forstå hva som skjer på en maskin umiddelbart, slik at vi kan handle raskt.
Det første trinnet er vanligvis å sørge for at du har Sysinternals-pakken installert eller tilgjengelig, enten via en lokal nedlasting eller ved å bruke Sysinternals Live. Når de er tilgjengelige, finner du kjørbare filer som Process Explorer (procexp.exe) og Process Monitor (procmon.exe) i riktig mappe, klare til oppstart uten kompliserte installasjoner.
Med Process Explorer kan du se alle aktive prosesser og tråder, CPU- og minnebruk, PID, beskrivelse og andre tilknyttede prosesser . Hvis du mistenker en infeksjon, vil du ofte se tydelige tegn: prosesser med merkelige navn, uvanlige plasseringer, usignerte kjørbare filer eller prosesser som er avhengige av mistenkelige overordnede prosesser.
I en rettsmedisinsk kontekst blir Process Explorer et av Sysinternals' mest verdifulle verktøy. For eksempel kan du analysere en spesifikk prosess, for eksempel en nettleserplugin (Flash var en gang et typisk mål for angrep), som du mistenker har blitt kompromittert. Ved å åpne egenskapene vil du se et panel med en rekke informasjonsseksjoner : banen til den kjørbare filen, oppstartskommandoer, ressursforbruk, lastede moduler, tillatelser og så videre.
Fra tillatelsesfanen kan du sjekke hvem som har tilgang til den prosessen . Hvis du i tillegg til de forventede kontoene (system, lokal bruker, standardtjenester) ser ukjente eller uvanlige kontoer, kan det være et tegn på manipulasjon eller ondsinnet vedvarende aktivitet.
En annen viktig funksjon er fanen Strenger, som lar deg trekke ut alle ASCII-strengene som er innebygd i prosessen . Disse kan inkludere kommentarer lagt igjen av utviklerne, filstier, nettadresser, kommandoer, feilmeldinger og andre data som er svært nyttige for å profilere oppførselen til den analyserte binærfilen.
Process Monitor utfyller denne analysen ved å la deg se i detalj hver operasjon prosessen utfører på filer, registeret og nettverket . Du kan filtrere sporet for å fokusere på den mistenkelige prosessen og observere hvilke nøkler den berører, hvilke filer den leser eller skriver, og hvilke feil den returnerer. Kombinasjonen av begge verktøyene gir ofte en klar nok visning til å identifisere angrepsvektoren eller vedvarende metoden til skadevaren.
Process Explorer i detalj: installasjon, bruk og symboler
Det er enkelt å installere Process Explorer: bare kjør procexp.exe-filen . Som et bærbart verktøy krever det ikke en installasjonsveiviser og endrer ikke systemet ditt aggressivt. Den innebygde hjelpefilen forklarer alternativene og bruksmodusene i detalj.
Hvis du støter på tvil eller problemer med Process Explorer, har Microsoft en egen seksjon på sin spørsmål og svar-plattform (Microsoft Q&A) dedikert til dette verktøyet, der andre brukere og eksperter deler løsninger, tips og praktiske erfaringer med ulike bruksscenarier.
For å få mest mulig ut av feilsøkingsinformasjon kan Process Explorer bruke feilsøkingssymboler . Når du konfigurerer banen til DBGHELP.DLL og symbolserveren (for eksempel Microsofts offentlige server), er det viktig at mappen som inneholder DBGHELP.DLL også inneholder SYMSRV.DLL, som er biblioteket som gir tilgang til disse serverne.
SymSrv-dokumentasjonen forklarer mer detaljert hvordan man konfigurerer disse symbolbanene og hvordan man arbeider med symbolservere. Riktig konfigurerte symboler forbedrer kvaliteten på kallstabler og den interne informasjonen som vises om prosesser og DLL-er betraktelig.
Process Explorer oppdateres relativt ofte. I nyere versjoner, som v16.43, opprettholder den kompatibiliteten med Windows 8.1 og senere på klientsiden og Windows Server 2012 og senere på serversiden. Dette gjør det til et allsidig verktøy som er egnet for blandede miljøer med forskjellige versjoner av Windows.
Prosessmonitor i detalj: filtrering, kolonner og bruksscenarier
Process Monitor distribueres også som en frittstående kjørbar fil. Når den er startet, begynner den å fange opp hendelser nesten umiddelbart, så det er lurt å sette opp filtre tidlig for å unngå å ende opp med et uhåndterlig hav av data.
Hver rad i hovedvisningen representerer en hendelse: hvilken prosess den startet, på hvilket tidspunkt, hvilken operasjon den utførte (fillesing, registerskriving, prosessoppretting osv.), på hvilken bane, hvilket resultat den returnerte, og ytterligere detaljer, for eksempel de spesifikke parameterne for det kallet.
Verktøyet viser en mengde informasjon per hendelse: prosessnavn, nøyaktig tidspunkt, fullstendig ressursbane, resultat og spesifikke data . Denne mengden informasjon gjør det mulig å diagnostisere alt fra tillatelsesfeil til feilkonfigurerte baner eller feilplasserte DLL-er.
Procmon integrerer en rekke avanserte filtre som du kan definere etter så å si ethvert felt, og kombinere betingelser med logiske operatorer. Dette gjør det for eksempel mulig å fokusere utelukkende på feil som skyldes nektet tilgang , skriveoperasjoner i én prosess eller lesinger av en bestemt registernøkkel.
I tilfeller med skadelig programvare hjelper Process Monitor deg med å se nøyaktig hva det mistenkelige programmet gjør : hvor det prøver å skrive, hvilke registernøkler det bruker for å holde seg aktivt ved oppstart, hvilke filer det laster ned eller endrer, og hvilke feil det forårsaker i systemet. Alt dette logges og kan lagres for senere analyse eller for å dokumentere en sikkerhetshendelse.
Som en ekstra bonus gir de symbolstøttede trådstablene kontekst om hvilken spesifikk funksjon i hvilken modul som startet hver hendelse, slik at du kan nå et svært fint detaljnivå når du undersøker den interne oppførselen til et program eller en systemkomponent.
Andre Sysinternals-verktøy relatert til prosesser og systemer
Selv om Process Explorer og Process Monitor er stjernene for å analysere prosesser i Windows, inneholder Sysinternals-pakken mange andre verktøy som utfyller denne visningen og hjelper med diagnostikk, sikkerhet og ytelse.
Handle er en kommandolinjevisningsprogram som lar deg liste opp hvilke systemfiler og objekter som brukes av hver prosess. Det er konsollversjonen av håndtaksinformasjonen du ser i Process Explorer, veldig nyttig for skripting og automatisering.
ListDLLs viser også, fra kommandolinjen, hvilke DLL-er hver prosess har lastet inn, noe som er nyttig for å oppdage injiserte moduler eller uventede biblioteker i en legitim kjørbar fil.
PsList og PsKill , som er en del av PsTools-pakken, lar deg liste opp og avslutte prosesser både lokalt og eksternt. Kommandolinjeverktøy som disse er viktige for administratorer som jobber fra konsollen.
Sysmon (System Monitor) er en systemtjeneste som, når den er installert, forblir aktiv etter omstart, og er dedikert til å overvåke og logge systemaktivitet i detalj . Den logger prosessoppretting, nettverkstilkoblinger, filendringer, minnetilgang mellom prosesser, ekstern trådoppretting og mer, alt samtidig som den integreres med Windows-hendelseslogger.
For å se all nettverksportaktivitet, viser TcpView åpne TCP- og UDP-tilkoblinger i sanntid, og indikerer lokale og eksterne adresser, tilkoblingsstatus og, i moderne versjoner av Windows, navnet på eierprosessen . Det er som en forbedret, grafisk versjon av Netstat, utmerket for å oppdage mistenkelig nettverksaktivitet generert av skadelig programvare eller uautorisert programvare.
Autoruns og andre viktige verktøy i Sysinternals-pakken
Selv om fokuset her er på prosesser, kan man ikke snakke om Sysinternals uten å nevne verktøy som, selv om de ikke er rene prosessverktøy, er essensielle for å kontrollere hva som kjører på Windows og hvordan.
Autoruns er den ultimate ressursen for å gjennomgå og administrere alt som starter automatisk med system- eller brukerøkten. Den går langt utover MSConfig: den viser programmer i oppstartsmapper, Run- og RunOnce-registernøkler, automatiske oppstartstjenester, Explorer-skallutvidelser, verktøylinjer, hjelpeobjekter for nettlesere, Winlogon-varsler og mye mer.
Informasjonen er organisert i tematiske faner (Office, Printers, Winlogon osv.), slik at du kan se kilden til hver Autorun-oppføring . Hver linje inneholder felt som oppføringsnavn (Autorun Entry), en kort beskrivelse, utgiver (Publisher), bildebanen (Image Path), dato og klokkeslett for installasjon (Timestamp) og en VirusTotal-skanningsindikator.
I grensesnittet tilsvarer rosa oppføringer vanligvis filer uten digital signatur eller med en signatur som ikke kunne bekreftes: dette kan skyldes utløpte sertifikater, svært gamle programmer, ødelagte filer eller mistenkelige modifikasjoner. Gule oppføringer indikerer filer som ikke lenger finnes eller som verktøyet ikke har tilgang til , selv om systemet fortsetter å prøve å laste dem inn ved oppstart. I slike tilfeller er det lurt å gjennomgå oppføringen nøye før du sletter noe, og som en forholdsregel er det vanligvis best å fjerne merket for oppføringen i stedet for å slette den.
Autoruns lar deg også sammenligne opptak tatt på forskjellige tidspunkter for å se hva som har endret seg mellom én analyse og en annen, noe som er veldig nyttig for å oppdage nye oppstartsoppføringer lagt til av et program eller skadelig programvare.
Andre populære Sysinternals-verktøy inkluderer AccessEnum (for å liste opp fil-, mappe- og registernøkkeltillatelser som avviker fra den overordnede mappen), BGInfo (som viser tekniske systemdata direkte på skrivebordsbakgrunnen), Contig (for å defragmentere spesifikke filer uten å berøre hele disken), Desktops (virtuelle skrivebord også i eldre versjoner av Windows), Disk2vhd (for å konvertere fysiske disker til VHD-filer for virtuelle maskiner) og ZoomIt , mye brukt i tekniske presentasjoner for å zoome og tegne på skjermen med hurtigtaster.
Innen avansert administrasjon tilbyr PsTools en rekke kommandolinjeverktøy for lokal og ekstern administrasjon: passordendringer, kontroll av innloggede brukere, administrasjon av prosesser og tjenester, ekstern kommandokjøring (PsExec) og systemavstengning. Mange av disse verktøyene er viktige i bedriftsmiljøer der mange datamaskiner administreres fra kommandolinjen.
Nylige utviklinger i Sysinternals-økosystemet
Microsoft fortsetter å vedlikeholde og utvide Sysinternals med regelmessige oppdateringer. Nylig har det blitt introdusert betydelige forbedringer i diverse verktøy som direkte eller indirekte påvirker prosess- og systemanalyse.
For eksempel har ZoomIt nådd versjon 10.0 , og har lagt til et videoklippredigeringsprogram for å trimme opptak før lagring og støtte for å ta opp systemlyd. ZoomIt har også blitt integrert i Microsoft PowerToys, samtidig som det forblir et frittstående verktøy på Sysinternals og er blitt åpen kildekode.
Innen overvåking har Sysmon for Linux fortsatt å utvikle seg, og har innlemmet hendelser som EbpfEvent for å overvåke eBPF-programbelastninger, noe som utvider Sysinternals' fokus utover Windows til Linux-miljøer, noe som er spesielt interessant for blandede team.
Andre bemerkelsesverdige oppdateringer inkluderer Coreinfo med et grafisk grensesnitt for visualisering av CPU-topologier, NUMA-minne og prosessorkarakteristikker; RDCMan med sikkerhetsforbedringer og moderne støtte for eksternt skrivebord; og Ctrl2Cap , et verktøy som hjelper med å omkode Caps Lock-tasten til Ctrl i Windows 10 og 11 uten behov for ekstra drivere.
Det finnes til og med en Azure DevOps-utvidelse som integrerer Sysinternals-verktøy i bygge- og distribusjonsrørledninger, noe som gjør det enklere å feilsøke bygge- og versjonsproblemer direkte i CI/CD-miljøer, samt Linux-tilpassede versjoner av ProcDump og Sysmon med støtte for arkitekturer som ARM64.
Samlet sett betyr hele dette økosystemet at når du først har blitt vant til å jobbe med Sysinternals, blir de uatskillelige følgesvenner til Oppgavebehandling og PowerToys , spesielt hvis du er en avansert bruker eller administrerer flere datamaskiner.
Kombinasjonen av Process Explorer og Process Monitor, sammen med verktøy som Autoruns, Sysmon og TcpView, lar deg gå fra «noe er galt, og jeg vet ikke hva det er» til å ha en veldig presis oversikt over hvilke prosesser som kjører, hvordan de samhandler med Windows, hvilke ressurser de bruker og hvilke spor de etterlater seg . Å forstå og mestre disse verktøyene hjelper deg ikke bare med å løse spesifikke problemer, men forbedrer også evnen din til å optimalisere tjenester og ytelse og holde systemene dine under kontroll på daglig basis.
