Sysinternals para sa pagkontrol ng mga proseso sa Windows tulad ng isang propesyonal

Informatec Digital » Kayamanan » Sysinternals para sa pagkontrol ng mga proseso sa Windows tulad ng isang propesyonal

Kung matagal ka nang gumagamit ng Windows at nalaman mong hindi sapat ang Task Manager para lubos na maunawaan kung ano talaga ang nangyayari sa iyong system, ang Sysinternals ang eksaktong hinahanap mo. Ang suite na ito ng mga advanced na Microsoft utilities ay nagbibigay-daan sa iyong makita nang detalyado kung aling mga proseso ang tumatakbo, kung aling mga file ang ina-access nila, kung aling mga Registry key ang binabago nila, at maging kung aling mga koneksyon sa network ang binubuksan nila.

Ang mga tool na ito ay matagal nang umiiral bago pa man ito gamitin ng Microsoft, at bagama't marami ang hindi napapansin, ang mga ito ay isang tunay na Swiss Army knife para sa pagsusuri ng mga proseso ng Windows, pagtukoy ng mga error, at paghahanap ng malware . Susuriin natin nang detalyado kung paano gamitin ang Process Explorer, Process Monitor, at iba pang mga Sysinternals utility na nakatuon sa proseso, na ipinaliwanag sa malinaw na wika at may mga praktikal na halimbawa.

Ano ang Sysinternals at bakit ito kapaki-pakinabang para sa pagsusuri ng mga proseso?

Ang Sysinternals ay isang proyektong nilikha noong 1996 nina Mark Russinovich at Bryce Cogswell upang mag-host ng maliliit at advanced na mga diagnostic tool, na sa simula ay nakatuon sa Windows NT, Windows 2000, at Windows XP. Ang orihinal na site ay tinatawag na NTinternals at idinisenyo upang ipakita ang mga panloob na paggana ng operating system upang maunawaan ng mga administrador at developer kung ano ang nangyayari "sa ilalim ng hood."

Sampung taon ang lumipas, noong 2006, nakuha ng Microsoft ang proyekto at isinama ito sa sarili nitong website: mula noon, ang sysinternals.com ay nagre-redirect sa isang opisyal na seksyon ng Microsoft . Gayunpaman, nanatili ang diwa: maliliit, magaan, karamihan ay portable na mga utility (kopyahin lamang, patakbuhin, at tapos ka na), na patuloy na ina-update, pinalalawak, at pinipino nang madalas.

Ang mga tool na ito ay pangunahing idinisenyo para sa mga system administrator, IT professional, at developer , ngunit ang sinumang bihasang gumagamit ay maaaring makinabang nang malaki mula sa mga ito. Pinapayagan ka nitong maunawaan, mai-configure, at mapamahalaan ang mga partikular na aspeto ng Windows: mula sa kung ano ang tumatakbo sa startup hanggang sa kung aling mga proseso ang kumukonsumo ng CPU, kung aling mga DLL ang nilo-load, at kung aling mga network port ang ginagamit.

Kasama sa kumpletong suite ang mahigit 70 utility at available din sa Microsoft Store bilang Sysinternals Suite . Ang pag-install nito mula sa store ay hindi magbibigay sa iyo ng kahit isang icon na "app"; sa halip, makakakuha ka ng isang koleksyon ng mga executable at dokumentasyon, na maaari mong ilunsad sa pamamagitan ng paghahanap para sa bawat tool ayon sa pangalan o pag-navigate sa lokasyon nito.

Sysinternals Live: Patakbuhin ang mga tool nang hindi ini-install ang mga ito

Isa sa mga pangunahing bentahe ng pamilyang ito ng mga utility ay ang Sysinternals Live , isang serbisyong nagbibigay-daan sa iyong patakbuhin ang mga tool nang direkta mula sa network, nang hindi manu-manong nagda-download at nag-a-unzip ng kahit ano sa iyong disk.

Para magamit ito mula sa File Explorer, i-type lang ang path ng tool gamit ang Sysinternals Live domain, halimbawa: live.sysinternals.com/<toolname> o ang ruta ng UNC \\live.sysinternals.com\tools\<toolname>Sa ganitong paraan, bubuksan ng Windows ang executable nang direkta mula sa Microsoft share.

Kung mas gusto mo ang console, maaari mong ilunsad ang anumang utility na may katulad na landas: \\live.sysinternals.com\tools\<toolname>Nakakatipid ito sa iyo mula sa pangangailangang pamahalaan ang mga lokal na bersyon at tinitiyak na palagi mong ginagamit ang pinakabagong bersyon ng bawat tool.

Para ma-explore ang lahat ng available, maaari mong buksan ang https://live.sysinternals.com/ sa iyong browser o Windows Explorer , kung saan makikita mo ang kumpletong direktoryo ng mga Sysinternals Live tool na handa nang gamitin.

Process Explorer: Ang "Supercharged Task Manager"

Ang Process Explorer ay maituturing na pinakakilalang tool ng Sysinternals pagdating sa mga proseso ng Windows . Ang layunin nito ay ipakita, nang mas detalyado kaysa sa Task Manager, kung ano ang pinapatakbo ng system, kung paano nakikipag-ugnayan ang mga proseso, at kung anong mga resources ang ginagamit nila sa anumang oras, upang ma-optimize ang performance.

Ang interface ng Process Explorer ay nahahati sa dalawang pangunahing sub-window. Sa itaas, palaging ipinapakita ang isang listahan ng lahat ng aktibong proseso , karaniwang nakaayos sa isang istruktura ng puno upang ipakita ang mga prosesong magulang at anak, kasama ang data tulad ng paglalarawan ng programa, kumpanya, process identifier (PID), paggamit ng CPU, paggamit ng memorya, atbp. Ipinapakita rin ang mga pangalan ng mga user account na nagmamay-ari ng bawat proseso.

Ang ibabang window ay maaaring gumana sa dalawang mode: handles mode at DLL mode. Sa handles mode, makikita mo ang mga handle na nakabukas sa napiling proseso (mga file, registry key, system object, atbp.). Sa DLL mode, ipinapakita nito ang mga dynamic link library at memory-mapped file na na-load ng proseso. Mahalaga ito para sa paghahanap kung aling file ang nilo-lock ng isang application o kung aling kahina-hinalang module ang na-inject sa isang lehitimong proseso.

Mayroon ding makapangyarihang function sa paghahanap ang Process Explorer na nagbibigay-daan sa iyong mahanap kung aling proseso ang nagpapanatiling bukas ng isang partikular na file o DLL . Ilalagay mo ang pangalan o bahagi ng pangalan at agad na makakakuha ng listahan ng mga prosesong kasangkot—napaka-kapaki-pakinabang kapag hindi ka pinapayagan ng Windows na burahin ang isang file "dahil ginagamit ito" at gusto mong malaman kung sino ang may hawak nito.

Isa pang kalakasan ay ang pag-verify ng digital signature . Gamit ang opsyong "I-verify", maaari mong suriin kung ang mga executable at DLL na naka-load sa memory ay may wastong lagda mula sa kanilang tagagawa. Nakakatulong ito na makilala ang mga lehitimong proseso mula sa mga potensyal na manipulado o hindi naka-sign na mga binary, na karaniwan sa malware o mga mas luma at hindi na pinapanatiling programa.

Gumagamit din ang tool ng mga kulay upang biswal na makilala ang mga proseso : mga serbisyo ng system, mga proseso sa konteksto ng Windows Explorer, mga naka-package na application, atbp. Ang isang mabilis na sulyap sa hanay ng mga pangalan at kulay ay nagbibigay-daan sa iyong makita kung ano ang hitsura ng bawat elemento nang hindi kinakailangang magsaliksik nang masyadong detalyado sa una.

Bukod pa rito, nag-aalok ang Process Explorer ng timeline view na nagpapakita nang grapiko kung kailan nagsimula ang bawat proseso . Sa pagsusuri ng insidente sa seguridad o maanomalyang pag-uugali, nakakatulong ang feature na ito na matukoy kung kailan nagsimula ang kahina-hinalang aktibidad at kung paano ito nauugnay sa iba pang mga prosesong nagsimula sa loob ng parehong timeframe.

Ang utility ay mainam para sa pagsubaybay sa mga isyu sa bersyon ng DLL, paghawak ng mga tagas (mga handle na hindi kailanman inilalabas), at sa pangkalahatan ay para sa mas mahusay na pag-unawa kung paano gumagana ang Windows sa loob at kung ano talaga ang ginagawa ng iyong mga application.

Process Monitor: real-time na X-ray ng mga file, log, at proseso

Ang Process Monitor (Procmon) ay isa pang mahalagang bahagi ng Sysinternals ecosystem. Ito ay isang advanced na tool sa pagsubaybay na nagpapakita ng lahat ng aktibidad ng file system, aktibidad ng Windows Registry, at mga proseso o thread na tumatakbo nang real time.

Pinagsasama at nalalagpasan nito ang mga tampok ng mga mas lumang kagamitan ng Filemon at Regmon, na nagdaragdag ng mahabang listahan ng mga pagpapabuti na idinisenyo para sa komprehensibong pagsubaybay nang hindi nawawala ang anumang impormasyon . Kabilang sa mga pinakakapansin-pansing tampok nito ay ang isang lubos na nababaluktot at hindi mapanirang sistema ng pagsala: maaari mong ilapat, isaayos, at alisin ang mga filter nang mabilisan nang hindi nawawala ang anumang mga kaganapan na nakuha na.

Ang bawat naka-log na kaganapan ay nagpapakita ng mga komprehensibong katangian, kabilang ang mga session ID, mga username, path ng imahe ng proseso , ang command line kung saan ito inilunsad, mga process at thread ID, at marami pang iba. Para sa bawat operasyon, posibleng makuha ang mga thread stack gamit ang built-in na suporta sa simbolo, na tumutulong na matukoy ang ugat ng isang partikular na tawag.

Ang arkitektura ng internal logging ay dinisenyo upang lubos na masukat kahit sa ilalim ng mabibigat na karga: kaya nitong pangasiwaan ang sampu-sampung milyong kaganapan at gigabytes ng data ng log nang hindi nababagabag, na mahalaga kapag gusto mong patuloy na kumuha ng impormasyon habang nagbo-boot nang buo ang system o kung sakaling magkaroon ng paulit-ulit na pagkabigo na mahirap kopyahin.

Binibigyang-daan ka ng Process Monitor na direktang itala ang aktibidad sa isang file sa isang native log format na nagpapanatili ng lahat ng detalye para sa paglo-load sa ibang pagkakataon sa ibang pagkakataon ng tool. Ito ay lubhang kapaki-pakinabang sa mga forensic o technical support environment: kinukuha mo ang problema sa makina ng user at sinusuri ang mga resulta sa ibang pagkakataon sa iyong sariling computer.

Kasama sa interface ang mga column na maaaring i-configure at i-scroll para sa halos anumang property ng event. Maaari ring gumawa ng mga filter batay sa anumang field, kahit na ang mga hindi na-configure bilang mga visible column, na nag-aalok ng malaking antas ng pagpapasadya upang paliitin kung ano mismo ang kailangan mong makita.

Sa mga pantulong na kagamitan, namumukod-tangi ang process tree , na nagpapakita ng ugnayan sa pagitan ng lahat ng prosesong nasa isang trace; ang mga tooltip ng proseso at impormasyon ng mga detalye, na nagbibigay-daan sa pagtingin sa malawak na mga field sa mga pop-up window nang hindi napupuno ang pangunahing view; at isang cancellable log search upang mahanap ang mga partikular na string nang hindi hinaharangan ang interface.

Mayroon ding boot time logging mode ang Process Monitor , na kumukuha ng mga operasyon mula sa mga unang yugto ng pagsisimula ng Windows. Para sa mga nag-troubleshoot ng mga problema sa boot, nag-diagnose ng mga pagkabigo ng application , o naghahanap ng malware, ang Process Monitor ay kadalasang nagiging isang kailangang-kailangan na tool sa kanilang toolkit.

Process Explorer at Process Monitor sa forensic analysis at pangangaso ng malware

Ang mga tool ng Sysinternals ay lalong kapaki-pakinabang kapag pinaghihinalaan natin na nakompromiso ang isang sistema at nais nating malaman kung anong mga proseso ang ginagamit ng malware at kung paano sila nakikipag-ugnayan sa sistema . Hindi ito palaging tungkol sa pangangalap ng ebidensya para sa isang pagsubok; kadalasan gusto lang natin agad na maunawaan kung ano ang nangyayari sa isang makina upang mabilis tayong makakilos.

Ang unang hakbang ay karaniwang siguraduhing naka-install o naa-access mo na ang Sysinternals suite, sa pamamagitan man ng lokal na pag-download o paggamit ng Sysinternals Live. Kapag available na, makikita mo ang mga executable tulad ng Process Explorer (procexp.exe) at Process Monitor (procmon.exe) sa naaangkop na folder, handa nang ilunsad nang walang kumplikadong pag-install.

Gamit ang Process Explorer, makikita mo ang lahat ng aktibong proseso at thread, ang paggamit ng CPU at memory ng mga ito, PID, deskripsyon, at iba pang kaugnay na proseso . Kung pinaghihinalaan mo ang isang impeksyon, madalas kang makakakita ng malinaw na mga palatandaan: mga prosesong may kakaibang pangalan, hindi pangkaraniwang lokasyon, mga hindi naka-sign na executable, o mga prosesong nakadepende sa mga kahina-hinalang prosesong magulang.

Sa kontekstong forensik, ang Process Explorer ay nagiging isa sa pinakamahalagang kagamitan ng Sysinternals. Halimbawa, maaari mong suriin ang isang partikular na proseso, tulad ng sa isang plugin ng browser (ang Flash ay dating karaniwang target ng mga pag-atake), na pinaghihinalaan mong nakompromiso. Sa pamamagitan ng pagbubukas ng mga katangian nito, makakakita ka ng isang panel na may maraming seksyon ng impormasyon : path patungo sa executable, mga utos sa pagsisimula, pagkonsumo ng mapagkukunan, mga naka-load na module, mga pahintulot, at iba pa.

Mula sa tab na mga pahintulot, maaari mong tingnan kung sino ang may access sa prosesong iyon . Kung, bilang karagdagan sa mga inaasahang account (System, lokal na user, karaniwang mga serbisyo), makakakita ka ng mga hindi alam o hindi pangkaraniwang account, maaaring ito ay isang senyales ng manipulasyon o malisyosong pagpupursige.

Ang isa pang mahalagang tampok ay ang tab na Strings, na nagbibigay-daan sa iyong kunin ang lahat ng ASCII strings na naka-embed sa proseso . Maaaring kabilang dito ang mga komentong iniwan ng mga developer, mga path ng file, mga web address, mga command, mga mensahe ng error, at iba pang data na lubhang kapaki-pakinabang para sa pag-profile ng pag-uugali ng sinuring binary.

Kinukumpleto ng Process Monitor ang pagsusuring ito sa pamamagitan ng pagpapahintulot sa iyong makita nang detalyado ang bawat operasyon na isinasagawa ng proseso sa mga file, Registry, at network . Maaari mong i-filter ang trace upang tumuon sa kahina-hinalang proseso at obserbahan kung aling mga key ang hinahawakan nito, kung aling mga file ang binabasa o isinusulat nito, at kung anong mga error ang ibinabalik nito. Kadalasan, ang kombinasyon ng parehong tool ay nagbibigay ng sapat na malinaw na view upang matukoy ang attack vector o persistence method ng malware.

Detalyadong Process Explorer: pag-install, paggamit at mga simbolo

Madali lang ang pag-install ng Process Explorer: patakbuhin lang ang procexp.exe file . Bilang isang portable utility, hindi nito kailangan ng installation wizard at hindi nito agresibong binabago ang iyong system. Ipinapaliwanag nang detalyado ng built-in na help file ang mga opsyon at usage mode.

Kung makakaranas ka ng mga pagdududa o problema sa Process Explorer, may partikular na seksyon ang Microsoft sa platform ng Mga Tanong at Sagot (Microsoft Q&A) nito na nakatuon sa tool na ito, kung saan nagbabahagi ang ibang mga user at eksperto ng mga solusyon, tip, at mga totoong karanasan sa mundo na may iba't ibang senaryo ng paggamit.

Para masulit ang impormasyon sa pag-debug, maaaring gumamit ang Process Explorer ng mga debug symbol . Kapag na-configure mo ang path papunta sa DBGHELP.DLL at ang symbol server (halimbawa, ang pampublikong server ng Microsoft), mahalaga na ang folder na naglalaman ng DBGHELP.DLL ay naglalaman din ng SYMSRV.DLL, na siyang library na nagbibigay-daan sa pag-access sa mga server na iyon.

Mas detalyadong ipinapaliwanag ng dokumentasyon ng SymSrv kung paano i-configure ang mga symbol path na ito at kung paano gamitin ang mga symbol server. Ang wastong pag-configure ng mga simbolo ay lubos na nagpapabuti sa kalidad ng mga call stack at sa panloob na impormasyong ipinapakita tungkol sa mga proseso at DLL.

Medyo madalas na ina-update ang Process Explorer. Sa mga bagong bersyon, tulad ng v16.43, pinapanatili nito ang pagiging tugma sa Windows 8.1 at mga mas bagong bersyon sa client side at Windows Server 2012 at mga mas bagong bersyon sa server side. Ginagawa nitong isang maraming gamit na tool na angkop para sa magkahalong kapaligiran na may iba't ibang bersyon ng Windows.

Detalyadong Pagsubaybay sa Proseso: pag-filter, mga kolum, at mga senaryo ng paggamit

Ang Process Monitor ay ipinamamahagi rin bilang isang standalone executable. Kapag nailunsad na, halos agad nitong sinisimulan ang pagkuha ng mga kaganapan, kaya mainam na mag-set up ng mga filter nang maaga upang maiwasan ang pagkakaroon ng isang napakalawak na karagatan ng data.

Ang bawat hilera sa pangunahing view ay kumakatawan sa isang kaganapan: saang proseso nagmula ito, sa anong oras, anong operasyon ang isinagawa nito (pagbasa ng file, pagsulat ng Registry, paglikha ng proseso, atbp.), sa anong landas, anong resulta ang ibinalik nito, at mga karagdagang detalye, tulad ng mga partikular na parameter ng tawag na iyon.

Ang tool ay nagpapakita ng maraming impormasyon sa bawat kaganapan: pangalan ng proseso, eksaktong oras, buong path ng mapagkukunan, resulta, at partikular na data . Ang kayamanang ito ay nagbibigay-daan para sa pag-diagnose ng lahat mula sa mga error sa pahintulot hanggang sa mga maling na-configure na path o mga maling nailagay na DLL.

Pinagsasama ng Procmon ang isang serye ng mga advanced na filter na maaari mong tukuyin sa pamamagitan ng halos anumang field, na pinagsasama ang mga kondisyon na may mga logical operator. Ginagawa nitong posible, halimbawa, na tumuon lamang sa mga access denied error , mga single-process write operation, o mga pagbasa ng isang partikular na registry key.

Sa mga senaryo ng malware, tinutulungan ka ng Process Monitor na makita nang eksakto kung ano ang ginagawa ng kahina-hinalang programa : kung saan ito sumusubok na magsulat, kung aling mga Registry key ang ginagamit nito upang manatiling aktibo sa pagsisimula, kung aling mga file ang dina-download o binabago nito, at kung anong mga error ang sanhi nito sa system. Ang lahat ng ito ay naka-log at maaaring i-save para sa pagsusuri sa ibang pagkakataon o upang idokumento ang isang insidente sa seguridad.

Bilang dagdag na bonus, ang mga symbol-supported thread stack ay nagbibigay ng konteksto tungkol sa kung aling partikular na function ng aling module ang nagmula sa bawat event, na nagbibigay-daan sa iyong maabot ang isang napakapinong antas ng detalye kapag sinisiyasat ang panloob na pag-uugali ng isang application o system component.

Iba pang mga tool ng Sysinternals na may kaugnayan sa mga proseso at sistema

Bagama't ang Process Explorer at Process Monitor ang mga pangunahing tauhan para sa pagsusuri ng mga proseso sa Windows, ang Sysinternals suite ay may kasamang maraming iba pang mga utility na umaakma sa view na iyon at tumutulong sa mga diagnostic, seguridad, at pagganap.

Ang Handle ay isang command-line handle viewer na nagbibigay-daan sa iyong ilista kung aling mga system file at object ang ginagamit ng bawat proseso. Ito ang console na bersyon ng impormasyon ng handle na nakikita mo sa Process Explorer, na lubhang kapaki-pakinabang para sa scripting at automation.

Ipinapakita rin ng ListDLLs , mula sa command line, kung aling mga DLL ang na-load ng bawat proseso, na kapaki-pakinabang para sa pag-detect ng mga injected module o mga hindi inaasahang library sa loob ng isang lehitimong executable.

Ang PsList at PsKill , bahagi ng PsTools suite, ay nagbibigay-daan sa iyong ilista at wakasan ang mga proseso nang lokal at malayuan. Ang mga command-line tool na tulad nito ay mahalaga para sa mga administrator na nagtatrabaho mula sa console.

Ang Sysmon (System Monitor) ay isang serbisyo ng sistema na, kapag na-install na, ay nananatiling aktibo pagkatapos ng pag-restart at nakatuon sa pagsubaybay at detalyadong pag-log ng aktibidad ng sistema . Nilalagda nito ang mga paglikha ng proseso, koneksyon sa network, pagbabago ng file, pag-access sa memorya sa pagitan ng mga proseso, paglikha ng malayuang thread, at higit pa, lahat habang isinasama sa mga event log ng Windows.

Para makita ang lahat ng aktibidad ng network port, inililista ng TcpView ang mga bukas na koneksyon ng TCP at UDP sa real time, na nagpapahiwatig ng mga lokal at remote na address, katayuan ng koneksyon, at, sa mga modernong bersyon ng Windows, ang pangalan ng proseso ng pagmamay-ari . Ito ay parang isang pinahusay at grapikong bersyon ng Netstat, mahusay para sa pag-detect ng kahina-hinalang aktibidad ng network na nabuo ng malware o hindi awtorisadong software.

Mga Autorun at iba pang mahahalagang kagamitan ng Sysinternals suite

Bagama't ang pokus dito ay sa mga proseso, hindi maaaring pag-usapan ang Sysinternals nang hindi binabanggit ang mga tool na, bagama't hindi purong mga tool sa proseso, ay mahalaga para sa pagkontrol sa kung ano ang tumatakbo sa Windows at kung paano.

Ang Autoruns ang pinakamahusay na mapagkukunan para sa pagsusuri at pamamahala ng lahat ng awtomatikong nagsisimula sa system o session ng user. Higit pa ito sa MSConfig: ipinapakita nito ang mga programa sa mga folder ng Startup, Run at RunOnce Registry key, mga awtomatikong serbisyo sa pagsisimula, mga extension ng shell ng Explorer, mga toolbar, mga help object ng browser, mga notification ng Winlogon, at marami pang iba.

Ang impormasyon ay nakaayos sa mga thematic tab (Office, Printers, Winlogon, atbp.), na nagbibigay-daan sa iyong makita ang pinagmulan ng bawat entry na Autorun . Ang bawat linya ay may kasamang mga field tulad ng pangalan ng entry (Autorun Entry), isang maikling paglalarawan, ang publisher (Publisher), ang path ng imahe (Image Path), ang petsa at oras kung kailan ito na-install (Timestamp), at isang VirusTotal scan indicator.

Sa interface, ang mga pink na entry ay karaniwang tumutugma sa mga file na walang digital signature o may signature na hindi ma-verify: maaaring ito ay dahil sa mga expired na certificate, mga lumang programa, mga corrupt na file, o mga kahina-hinalang pagbabago. Ang mga dilaw na entry ay nagpapahiwatig ng mga file na wala na o hindi ma-access ng tool , kahit na patuloy na sinusubukan ng system na i-load ang mga ito sa startup. Sa mga kasong ito, ipinapayong maingat na suriin ang entry bago magbura ng kahit ano, at bilang pag-iingat, karaniwang pinakamahusay na alisan ng check ang entry sa halip na burahin ito.

Binibigyang-daan ka rin ng Autoruns na ihambing ang mga capture na kinuha sa iba't ibang oras upang makita kung ano ang nagbago sa pagitan ng isang pagsusuri at ng isa pa, na lubhang kapaki-pakinabang para sa pag-detect ng mga bagong entry sa startup na idinagdag ng isang programa o malware.

Kabilang sa iba pang sikat na tool ng Sysinternals ang AccessEnum (para sa paglilista ng mga pahintulot ng file, folder, at registry key na lumihis mula sa kanilang parent folder), BGInfo (na nagpapakita ng teknikal na data ng system nang direkta sa desktop background), Contig (para sa pag-defragment ng mga partikular na file nang hindi hinahawakan ang buong disk), Desktops (mga virtual desktop din sa mga mas lumang bersyon ng Windows), Disk2vhd (para sa pag-convert ng mga pisikal na disk sa mga VHD file para sa mga virtual machine), at ZoomIt , na malawakang ginagamit sa mga teknikal na presentasyon para sa pag-zoom at pagguhit sa screen gamit ang mga keyboard shortcut.

Sa larangan ng advanced administration, nag-aalok ang PsTools ng isang suite ng mga command-line utilities para sa lokal at remote na pamamahala: pagpapalit ng password, pagsuri sa mga naka-log in na user, pamamahala ng mga proseso at serbisyo, remote command execution (PsExec), at system shutdown. Marami sa mga tool na ito ay mahalaga sa mga corporate environment kung saan maraming computer ang pinamamahalaan mula sa command line.

Mga kamakailang pag-unlad sa ecosystem ng Sysinternals

Patuloy na pinapanatili at pinapalawak ng Microsoft ang Sysinternals sa pamamagitan ng mga regular na pag-update. Kamakailan lamang, ipinakilala ang mga makabuluhang pagpapabuti sa iba't ibang tool na direkta o hindi direktang nakakaimpluwensya sa pagsusuri ng proseso at sistema.

Halimbawa, ang ZoomIt ay umabot na sa bersyon 10.0 , na nagdaragdag ng editor ng video clip para sa pag-trim ng mga recording bago i-save at suporta para sa pagkuha ng audio ng system. Isinama na rin ang ZoomIt sa Microsoft PowerToys, habang nananatiling isang standalone utility sa Sysinternals at nagiging open source.

Sa larangan ng pagsubaybay, ang Sysmon para sa Linux ay patuloy na umuunlad, isinasama ang mga kaganapan tulad ng EbpfEvent upang subaybayan ang mga naglo-load ng programa ng eBPF, na nagpapalawak sa pokus ng Sysinternals na lampas sa Windows patungo sa mga kapaligiran ng Linux, isang bagay na lalong kawili-wili para sa mga halo-halong koponan.

Kabilang sa iba pang kapansin-pansing mga update ang Coreinfo na may graphical interface para sa pagpapakita ng mga topolohiya ng CPU, NUMA memory, at mga katangian ng processor; RDCMan na may mga pagpapahusay sa seguridad at modernong suporta sa Remote Desktop; at Ctrl2Cap , isang tool na tumutulong na i-remap ang Caps Lock key sa Ctrl sa Windows 10 at 11 nang hindi nangangailangan ng mga karagdagang driver.

Mayroon ding Azure DevOps extension na nagsasama ng mga tool ng Sysinternals sa mga pipeline ng build at deployment, na ginagawang mas madali ang pag-troubleshoot ng mga isyu sa build at bersyon nang direkta sa mga CI/CD environment, pati na rin ang mga bersyon ng ProcDump at Sysmon na inangkop sa Linux na may suporta para sa mga arkitektura tulad ng ARM64.

Kung pagsasama-samahin, ang buong ecosystem na ito ay nangangahulugan na kapag nasanay ka nang gumamit ng Sysinternals, nagiging malapit na sila sa Task Manager at PowerToys , lalo na kung ikaw ay isang advanced user o namamahala ng maraming computer.

Ang kombinasyon ng Process Explorer at Process Monitor, kasama ang mga tool tulad ng Autoruns, Sysmon, at TcpView, ay nagbibigay-daan sa iyong lumipat mula sa "may mali at hindi ko alam kung ano ito" patungo sa pagkakaroon ng isang napaka-tumpak na pagtingin sa kung aling mga proseso ang tumatakbo, kung paano sila nakikipag-ugnayan sa Windows, kung anong mga mapagkukunan ang kanilang ina-access, at kung anong mga bakas ang kanilang iniiwan . Ang pag-unawa at pag-master sa mga utility na ito ay hindi lamang nakakatulong sa iyo na malutas ang mga partikular na problema kundi nagpapabuti rin sa iyong kakayahang i- optimize ang mga serbisyo at pagganap at panatilihing kontrolado ang iyong mga system araw-araw.