Sysinternals pentru controlul proceselor în Windows ca un profesionist

Informatec Digital » Recursos » Sysinternals pentru controlul proceselor în Windows ca un profesionist

Dacă folosești Windows de ceva vreme și descoperi că Task Manager nu este suficient pentru a înțelege pe deplin ce se întâmplă cu adevărat cu sistemul tău, Sysinternals este exact ceea ce căutai. Această suită de utilitare avansate Microsoft îți permite să vezi, în detaliu, ce procese rulează, ce fișiere accesează, ce chei de registry modifică și chiar ce conexiuni de rețea deschid.

Aceste instrumente existau cu mult înainte ca Microsoft să le adopte și, deși multe trec neobservate, reprezintă un adevărat briceag elvețian pentru analiza proceselor Windows, detectarea erorilor și vânarea programelor malware . Vom analiza în detaliu cum să valorificăm Process Explorer, Process Monitor și celelalte utilitare Sysinternals axate pe procese, explicate într-un limbaj clar și cu exemple practice.

Ce este Sysinternals și de ce este atât de util pentru analiza proceselor?

Sysinternals este un proiect creat în 1996 de Mark Russinovich și Bryce Cogswell pentru a găzdui instrumente de diagnosticare mici și avansate, inițial axate pe Windows NT, Windows 2000 și Windows XP. Site-ul original se numea NTinternals și a fost conceput pentru a arăta funcționarea internă a sistemului de operare, astfel încât administratorii și dezvoltatorii să poată înțelege ce se întâmplă „sub capotă”.

Zece ani mai târziu, în 2006, Microsoft a achiziționat proiectul și l-a integrat în propriul site web: de atunci, sysinternals.com redirecționează către o secțiune oficială Microsoft . Chiar și așa, spiritul s-a păstrat: utilitare mici, ușoare, în mare parte portabile (doar copiați, rulați și gata), care continuă să fie actualizate, extinse și rafinate frecvent.

Aceste instrumente sunt concepute în principal pentru administratorii de sistem, profesioniștii IT și dezvoltatori , dar orice utilizator avansat poate beneficia foarte mult de pe urma lor. Acestea vă permit să înțelegeți, să configurați și să gestionați aspecte foarte specifice ale Windows: de la ce se execută la pornire până la ce procese consumă CPU, ce DLL-uri sunt încărcate și ce porturi de rețea sunt utilizate.

Suita completă include peste 70 de utilitare și este disponibilă și în Microsoft Store sub denumirea de Sysinternals Suite . Instalarea din magazin nu vă va oferi o singură pictogramă de „aplicație”; în schimb, veți primi o colecție de fișiere executabile și documentație, pe care le puteți lansa căutând fiecare instrument după nume sau navigând la locația sa.

Sysinternals Live: Rulați instrumente fără a le instala

Unul dintre avantajele cheie ale acestei familii de utilitare este Sysinternals Live , un serviciu care vă permite să rulați instrumentele direct din rețea, fără a descărca și dezarhiva manual nimic pe disc.

Pentru a-l utiliza din File Explorer, pur și simplu introduceți calea instrumentului folosind domeniul Sysinternals Live, de exemplu: live.sysinternals.com/<toolname> sau ruta UNC \\live.sysinternals.com\tools\<toolname>În acest fel, Windows va deschide executabilul direct din partajarea Microsoft.

Dacă preferați consola, puteți lansa orice utilitar cu o cale similară: \\live.sysinternals.com\tools\<toolname>Acest lucru vă scutește de gestionarea versiunilor locale și vă asigură că utilizați întotdeauna cea mai recentă versiune a fiecărui instrument.

Pentru a explora tot ce este disponibil, puteți deschide https://live.sysinternals.com/ în browser sau în Windows Explorer , unde veți vedea directorul complet al instrumentelor Sysinternals Live, gata de utilizare.

Explorator de procese: „Managerul de activități supraalimentat”

Process Explorer este, probabil, cel mai cunoscut instrument al Sysinternals când vine vorba de procesele Windows . Scopul său este de a arăta, mult mai detaliat decât Task Manager, ce rulează sistemul, cum interacționează procesele și ce resurse utilizează la un moment dat, pentru a optimiza performanța.

Interfața Process Explorer este împărțită în două sub-ferestre principale. În partea de sus, este afișată întotdeauna o listă cu toate procesele active , de obicei organizate într-o structură arborescentă pentru a afișa procesele părinte și copil, împreună cu date precum descrierea programului, compania, identificatorul procesului (PID), utilizarea CPU, utilizarea memoriei etc. Sunt afișate și numele conturilor de utilizator care dețin fiecare proces.

Fereastra inferioară poate funcționa în două moduri: modul handles și modul DLL. În modul handles, veți vedea handle-urile pe care procesul selectat le are deschise (fișiere, chei de registry, obiecte de sistem etc.). În modul DLL, se afișează bibliotecile de legături dinamice și fișierele mapate în memorie pe care procesul le-a încărcat. Acest lucru este crucial pentru localizarea fișierului pe care îl blochează o aplicație sau a modulului suspect injectat într-un proces legitim.

Process Explorer include și o funcție puternică de căutare care vă permite să localizați procesul care menține deschis un anumit fișier sau o DLL . Introduceți numele sau o parte a numelui și primiți instantaneu o listă a proceselor implicate - foarte util atunci când Windows nu vă permite să ștergeți un fișier „pentru că este în uz” și doriți să știți cine îl deține.

Un alt punct forte este verificarea semnăturii digitale . Folosind opțiunea „Verificare”, puteți verifica dacă fișierele executabile și DLL-urile încărcate în memorie au o semnătură validă de la producător. Acest lucru ajută la distingerea proceselor legitime de fișierele binare potențial manipulate sau nesemnate, ceea ce este foarte frecvent în cazul programelor malware sau al programelor mai vechi, care nu mai sunt întreținute.

Instrumentul folosește și culori pentru a caracteriza vizual procesele : servicii de sistem, procese în contextul Windows Explorer, aplicații pachet etc. O privire rapidă asupra coloanei de nume și culori vă permite să vedeți cum arată fiecare element fără a fi nevoie să aprofundați prea mult detaliile la început.

În plus, Process Explorer oferă o vizualizare cronologică care afișează grafic momentul în care a început fiecare proces . În analiza incidentelor de securitate sau a comportamentului anomal, această funcție ajută la identificarea momentului în care a început o activitate suspectă și la modul în care aceasta se raportează la alte procese pornite în același interval de timp.

Utilitarul este ideal pentru depistarea problemelor legate de versiunile DLL, identificarea scurgerilor de date (handle-uri care nu sunt niciodată lansate) și, în general, pentru o mai bună înțelegere a modului în care funcționează intern Windows și a ceea ce fac de fapt aplicațiile tale.

Monitor de procese: radiografie în timp real a fișierelor, jurnalelor și proceselor

Monitorul de procese (Procmon) este o altă componentă cheie a ecosistemului Sysinternals. Este un instrument avansat de monitorizare care afișează toată activitatea sistemului de fișiere, activitatea Registrului Windows și procesele sau firele de execuție în timp real.

Combină și depășește caracteristicile utilitarelor Filemon și Regmon mai vechi, adăugând o listă lungă de îmbunătățiri concepute pentru o trasabilitate completă fără pierderea niciunei informații . Printre cele mai notabile caracteristici ale sale se numără un sistem de filtrare extrem de flexibil și nedistructiv: puteți aplica, ajusta și elimina filtre din mers, fără a pierde evenimentele deja capturate.

Fiecare eveniment înregistrat afișează proprietăți complete, inclusiv ID-uri de sesiune, nume de utilizator, calea imaginii procesului , linia de comandă din care a fost lansat, ID-uri de proces și thread și multe altele. Pentru fiecare operațiune, este posibilă capturarea stivelor de thread-uri cu suport încorporat pentru simboluri, ceea ce ajută la identificarea cauzei principale a unui anumit apel.

Arhitectura internă de jurnalizare este concepută pentru a se scala foarte bine chiar și sub sarcini mari: este capabilă să gestioneze zeci de milioane de evenimente și gigaocteți de date de jurnal fără întreruperi, ceea ce este esențial atunci când doriți să continuați să capturați informații în timpul unei porniri complete a sistemului sau în cazul unei defecțiuni intermitente dificil de reprodus.

Monitorul de proces vă permite să înregistrați activitatea direct într-un fișier într-un format de jurnal nativ care păstrează toate detaliile pentru încărcarea ulterioară într-o altă instanță a instrumentului. Acest lucru este foarte util în mediile de asistență tehnică sau criminalistică: capturați problema pe mașina utilizatorului și analizați rezultatele ulterior pe propriul computer.

Interfața include coloane configurabile și derulabile pentru practic orice proprietate de eveniment. De asemenea, se pot crea filtre pe baza oricărui câmp, chiar și a celor care nu sunt configurate ca și coloane vizibile, oferind un nivel imens de personalizare pentru a restrânge exact ceea ce trebuie să vedeți.

Printre instrumentele auxiliare, se remarcă arborele de procese , care arată relația dintre toate procesele prezente într-o urmărire; tooltip-urile și informațiile detaliate despre procese, care permit vizualizarea unor câmpuri extinse în ferestrele pop-up fără a satura vizualizarea principală; și o căutare în jurnal anulabilă pentru a localiza șiruri specifice fără a bloca interfața.

Process Monitor include și un mod de înregistrare a timpului de pornire , care capturează operațiunile din etapele inițiale ale pornirii Windows. Pentru cei care depanează problemele de pornire, diagnostichează erorile aplicațiilor sau caută programe malware, Process Monitor devine adesea un instrument indispensabil în setul lor de instrumente.

Process Explorer și Process Monitor în analiza criminalistică și vânătoarea de programe malware

Instrumentele Sysinternals sunt deosebit de utile atunci când suspectăm că un sistem a fost compromis și dorim să aflăm ce procese folosește malware-ul și cum interacționează acesta cu sistemul . Nu este întotdeauna vorba despre adunarea de dovezi pentru un proces; adesea vrem doar să înțelegem imediat ce se întâmplă pe o mașină, astfel încât să putem acționa rapid.

Primul pas este, de obicei, să vă asigurați că aveți suita Sysinternals instalată sau accesibilă, fie printr-o descărcare locală, fie utilizând Sysinternals Live. Odată ce sunt disponibile, veți găsi fișiere executabile precum Process Explorer (procexp.exe) și Process Monitor (procmon.exe) în folderul corespunzător, gata de lansare fără instalări complexe.

Cu Process Explorer, puteți vedea toate procesele și firele de execuție active, utilizarea CPU și a memoriei, PID-ul, descrierea și alte procese asociate . Dacă suspectați o infecție, veți vedea adesea semne clare: procese cu nume ciudate, locații neobișnuite, executabile nesemnate sau procese care depind de procese părinte suspecte.

Într-un context criminalistic, Process Explorer devine unul dintre cele mai valoroase instrumente ale Sysinternals. De exemplu, puteți analiza un anumit proces, cum ar fi cel al unui plugin de browser (Flash a fost cândva o țintă tipică a atacurilor), despre care suspectați că a fost compromis. Deschizând proprietățile sale, veți vedea un panou cu numeroase secțiuni de informații : calea către executabil, comenzile de pornire, consumul de resurse, modulele încărcate, permisiuni și așa mai departe.

Din fila permisiuni, puteți verifica cine are acces la acel proces . Dacă, pe lângă conturile așteptate (Sistem, utilizator local, servicii standard), vedeți conturi necunoscute sau neobișnuite, ar putea fi un semn de manipulare sau persistență rău intenționată.

O altă caracteristică cheie este fila Șiruri de caractere, care vă permite să extrageți toate șirurile ASCII încorporate în proces . Acestea pot include comentarii lăsate de dezvoltatori, căi de fișiere, adrese web, comenzi, mesaje de eroare și alte date foarte utile pentru profilarea comportamentului fișierului binar analizat.

Monitorul de procese completează această analiză permițându-vă să vedeți în detaliu fiecare operațiune pe care procesul o efectuează asupra fișierelor, Registrului și rețelei . Puteți filtra urmărirea pentru a vă concentra asupra procesului suspect și a observa ce chei atinge, ce fișiere citește sau scrie și ce erori returnează. Adesea, combinarea ambelor instrumente oferă o imagine suficient de clară pentru a identifica vectorul de atac sau metoda de persistență a malware-ului.

Exploratorul de procese în detaliu: instalare, utilizare și simboluri

Instalarea Process Explorer este simplă: pur și simplu executați fișierul procexp.exe . Fiind un utilitar portabil, nu necesită un expert de instalare și nu modifică excesiv sistemul. Fișierul de ajutor încorporat explică opțiunile și modurile de utilizare în detaliu.

Dacă întâmpinați îndoieli sau probleme cu Process Explorer, Microsoft menține o secțiune specifică pe platforma sa Întrebări și răspunsuri (Microsoft Q&A) dedicată acestui instrument, unde alți utilizatori și experți împărtășesc soluții, sfaturi și experiențe din lumea reală cu diferite scenarii de utilizare.

Pentru a profita la maximum de informațiile de depanare, Process Explorer poate utiliza simboluri de depanare . Când configurați calea către DBGHELP.DLL și serverul de simboluri (de exemplu, serverul public Microsoft), este important ca folderul care conține DBGHELP.DLL să conțină și SYMSRV.DLL, care este biblioteca ce permite accesul la aceste servere.

Documentația SymSrv explică mai detaliat cum se configurează aceste căi de simboluri și cum se lucrează cu serverele de simboluri. Simbolurile configurate corect îmbunătățesc considerabil calitatea stivelor de apeluri și a informațiilor interne afișate despre procese și DLL-uri.

Process Explorer este actualizat relativ frecvent. În versiunile recente, cum ar fi v16.43, acesta menține compatibilitatea cu Windows 8.1 și versiunile ulterioare pe partea de client și cu Windows Server 2012 și versiunile ulterioare pe partea de server. Acest lucru îl face un instrument versatil, potrivit pentru medii mixte cu diferite versiuni de Windows.

Monitorul de procese în detaliu: filtrare, coloane și scenarii de utilizare

Process Monitor este distribuit și ca un executabil independent. Odată lansat, începe să captureze evenimente aproape instantaneu, așa că este o idee bună să configurați filtre din timp pentru a evita să ajungeți la un ocean greoi de date.

Fiecare rând din vizualizarea principală reprezintă un eveniment: ce proces l-a originat, la ce oră, ce operațiune a efectuat (citire fișier, scriere în Registry, creare proces etc.), pe ce cale, ce rezultat a returnat și detalii suplimentare, cum ar fi parametrii specifici ai acelui apel.

Instrumentul afișează o multitudine de informații pentru fiecare eveniment: numele procesului, ora exactă, calea completă a resursei, rezultatul și date specifice . Această bogăție de informații permite diagnosticarea tuturor aspectelor, de la erori de permisiuni la căi configurate greșit sau DLL-uri plasate greșit.

Procmon integrează o serie de filtre avansate pe care le puteți defini prin practic orice câmp, combinând condițiile cu operatori logici. Acest lucru face posibilă, de exemplu, concentrarea exclusivă pe erorile de acces refuzat , operațiunile de scriere la un singur proces sau citirile unei chei de registry specifice.

În scenariile cu programe malware, Process Monitor vă ajută să vedeți exact ce face programul suspect : unde încearcă să scrie, ce chei de registry folosește pentru a rămâne activ la pornire, ce fișiere descarcă sau modifică și ce erori provoacă în sistem. Toate acestea sunt înregistrate și pot fi salvate pentru analize ulterioare sau pentru a documenta un incident de securitate.

Ca bonus suplimentar, stivele de thread-uri suportate de simboluri oferă context despre ce funcție specifică a fiecărui modul a originat fiecare eveniment, permițându-vă să atingeți un nivel foarte fin de detaliu atunci când investigați comportamentul intern al unei aplicații sau componente de sistem.

Alte instrumente Sysinternals legate de procese și sisteme

Deși Process Explorer și Process Monitor sunt vedetele pentru analiza proceselor în Windows, suita Sysinternals include multe alte utilitare care completează această vizualizare și ajută la diagnosticare, securitate și performanță.

Handle este un vizualizator de handle-uri în linia de comandă care vă permite să listați fișierele și obiectele de sistem utilizate de fiecare proces. Este versiunea de consolă a informațiilor despre handle-uri pe care le vedeți în Process Explorer, foarte utilă pentru scripting și automatizare.

ListDLLs arată, de asemenea, din linia de comandă, ce DLL-uri a încărcat fiecare proces, ceea ce este util pentru detectarea modulelor injectate sau a bibliotecilor neașteptate într-un executabil legitim.

PsList și PsKill , parte a suitei PsTools, vă permit să listați și să terminați procesele atât local, cât și de la distanță. Instrumentele din linia de comandă, cum ar fi acestea, sunt esențiale pentru administratorii care lucrează din consolă.

Sysmon (System Monitor) este un serviciu de sistem care, odată instalat, rămâne activ după repornire și este dedicat monitorizării și înregistrării detaliate a activității sistemului . Acesta înregistrează în jurnalul de procese, conexiunile de rețea, modificările de fișiere, accesul la memorie între procese, crearea de fire de execuție la distanță și multe altele, toate acestea integrându-se în timp ce se integrează cu jurnalele de evenimente Windows.

Pentru a vizualiza toată activitatea porturilor de rețea, TcpView listează conexiunile TCP și UDP deschise în timp real, indicând adresele locale și la distanță, starea conexiunii și, în versiunile moderne de Windows, numele procesului proprietar . Este ca o versiune grafică îmbunătățită a Netstat, excelentă pentru detectarea activității suspecte de rețea generate de programe malware sau software neautorizat.

Autoruns și alte utilități cheie ale suitei Sysinternals

Deși accentul este pus aici pe procese, nu se poate vorbi despre Sysinternals fără a menționa instrumente care, deși nu sunt instrumente pure de proces, sunt esențiale pentru controlul a ceea ce rulează pe Windows și cum.

Autoruns este resursa supremă pentru revizuirea și gestionarea a tot ceea ce pornește automat odată cu sistemul sau sesiunea utilizatorului. Depășește cu mult MSConfig: afișează programe în folderele Startup, cheile de registry Run și RunOnce, serviciile de pornire automată, extensiile shell Explorer, barele de instrumente, obiectele de ajutor ale browserului, notificările Winlogon și multe altele.

Informațiile sunt organizate în file tematice (Office, Imprimante, Winlogon etc.), permițându-vă să vedeți sursa fiecărei intrări Autorun . Fiecare linie include câmpuri precum numele intrării (Autorun Intrare), o scurtă descriere, editorul (Publisher), calea imaginii (Image Path), data și ora instalării (Timestamp) și un indicator de scanare VirusTotal.

În interfață, intrările roz corespund de obicei fișierelor fără semnătură digitală sau cu o semnătură care nu a putut fi verificată: acest lucru se poate datora certificatelor expirate, programelor foarte vechi, fișierelor corupte sau modificărilor suspecte. Intrările galbene indică fișiere care nu mai există sau la care instrumentul nu poate accesa , chiar dacă sistemul continuă să încerce să le încarce la pornire. În aceste cazuri, este recomandabil să examinați cu atenție intrarea înainte de a șterge orice și, ca măsură de precauție, este de obicei mai bine să debifați intrarea decât să o ștergeți.

Autoruns vă permite, de asemenea, să comparați capturile realizate în momente diferite pentru a vedea ce s-a schimbat între o analiză și alta, ceea ce este foarte util pentru detectarea noilor intrări de pornire adăugate de un program sau de un malware.

Alte instrumente populare Sysinternals includ AccessEnum (pentru listarea permisiunilor pentru fișiere, foldere și chei de registry care diferă de folderul părinte), BGInfo (care afișează date tehnice de sistem direct pe fundalul desktopului), Contig (pentru defragmentarea anumitor fișiere fără a atinge întregul disc), Desktops (desktop-uri virtuale disponibile și în versiunile mai vechi de Windows), Disk2vhd (pentru convertirea discurilor fizice în fișiere VHD pentru mașini virtuale) și ZoomIt , utilizat pe scară largă în prezentările tehnice pentru zoom și desenare pe ecran cu ajutorul comenzilor rapide de la tastatură.

În domeniul administrării avansate, PsTools oferă o suită de utilitare din linia de comandă pentru administrare locală și la distanță: modificări ale parolei, verificarea utilizatorilor conectați, gestionarea proceselor și serviciilor, executarea comenzilor la distanță (PsExec) și oprirea sistemului. Multe dintre aceste instrumente sunt esențiale în mediile corporative unde numeroase computere sunt gestionate din linia de comandă.

Dezvoltări recente în ecosistemul Sysinternals

Microsoft continuă să întrețină și să extindă Sysinternals cu actualizări regulate. Recent, au fost introduse îmbunătățiri semnificative la diverse instrumente care influențează direct sau indirect analiza proceselor și a sistemelor.

De exemplu, ZoomIt a ajuns la versiunea 10.0 , adăugând un editor de clipuri video pentru tăierea înregistrărilor înainte de salvare și suport pentru capturarea sunetului sistemului. ZoomIt a fost, de asemenea, integrat în Microsoft PowerToys, rămânând în același timp un utilitar independent pe Sysinternals și devenind open source.

În domeniul monitorizării, Sysmon pentru Linux a continuat să evolueze, încorporând evenimente precum EbpfEvent pentru a monitoriza încărcarea programelor eBPF, extinzând concentrarea Sysinternals dincolo de Windows în mediile Linux, lucru deosebit de interesant pentru echipele mixte.

Alte actualizări notabile includ Coreinfo cu o interfață grafică pentru vizualizarea topologiilor CPU, a memoriei NUMA și a caracteristicilor procesorului; RDCMan cu îmbunătățiri de securitate și suport modern pentru Desktop la distanță; și Ctrl2Cap , un instrument care ajută la remaparea tastei Caps Lock la Ctrl în Windows 10 și 11 fără a fi nevoie de drivere suplimentare.

Există chiar și o extensie Azure DevOps care integrează instrumentele Sysinternals în conductele de compilare și implementare, facilitând depanarea problemelor de compilare și versiune direct în mediile CI/CD, precum și versiuni adaptate Linux ale ProcDump și Sysmon cu suport pentru arhitecturi precum ARM64.

Luate împreună, întregul ecosistem înseamnă că, odată ce te obișnuiești să lucrezi cu Sysinternals, acestea devin tovarăși inseparabili de Task Manager și PowerToys , mai ales dacă ești un utilizator avansat sau gestionezi mai multe computere.

Combinația dintre Process Explorer și Process Monitor, împreună cu instrumente precum Autoruns, Sysmon și TcpView, vă permite să treceți de la „ceva este în neregulă și nu știu ce este” la o imagine foarte precisă a proceselor care rulează, a modului în care interacționează cu Windows, a resurselor pe care le accesează și a urmelor pe care le lasă în urmă . Înțelegerea și stăpânirea acestor utilitare nu numai că vă ajută să rezolvați probleme specifice, dar vă îmbunătățește și capacitatea de a optimiza serviciile și performanța și de a menține sistemele sub control zilnic.