Windows má nástroj, který ukazuje každou aplikaci, která se dotkla souboru na vašem počítači

Byl jsem překvapen, když jsem spustil nástroj na svém počítači s Windows a viděl, co jsem si myslel, že je nečinný systém, jak během krátké doby zasáhl více než tisíc souborů. Prohlížeč zapisoval protokoly, cloudové aplikace prohledávaly složky a bezpečnostní proces četl každý soubor, jakmile byl zapsán na disk.

Nástroj Process Monitor od Microsoftu byl tím nástrojem, který odhalil všechny tyto aktivity, o kterých jsem nikdy nevěděl, že existují. Na rozdíl od Správce úloh, který ukazuje procenta využití zdrojů, odhaluje přesné soubory, kterých se moje aplikace v reálném čase dotýkají. Vidět objem této činnosti mi poskytuje hlubší pochopení mého počítače.

Váš počítač není tak nečinný, jak vypadá

Prvních pár sekund v Process Monitoru působí chaoticky z určitého důvodu

Okamžitě mě napadlo, že s mým počítačem je něco v nepořádku, když jsem poprvé otevřel Process Monitor. Okno se okamžitě zaplnilo více než milionem událostí a řádky se neustále aktualizovaly, ještě než jsem je stačil přečíst. Můj systém nic nedělal, přesto to vypadalo, jako by byl pod těžkým stresem.

To je pravděpodobně stejný proud aktivit, který si všimnete na svém počítači, a je to ještě přehnanější na systémech spouštějících několik aplikací na pozadí. S méně aplikacemi na pozadí bude tok lehčí. Každopádně platí, že Windows je neustále aktivní.

Data, která jsem viděl, nebyla abstraktní. Každý řádek ukazoval na skutečnou akci. Na rozdíl od Správce úloh neukazovalo, kolik zdrojů tyto akce spotřebovávají; ukazovalo, co dělaly a které soubory ovlivnily. Pro každou událost, kterou nástroj zaznamenal, bylo uvedeno jméno procesu, cesta k souboru, časová značka a výsledek.

Co tyto operace se soubory ve skutečnosti odhalují

Jakmile pochopíte vzory, šum začne dávat smysl

Zpočátku se mi proud, který jsem sledoval, zdál být plný hluku, ale postupně se stal jasnějším, jak jsem se učil, co znamená každý typ operace. Níže uvedená tabulka shrnuje hlavní události:

Tabulka však skrývá chování těchto operací v čase. Pokud si všimnete jediné události WriteFile, nemusí být na ní nic pozoruhodného. Například, pokud si všimnete, že se stejná operace opakuje několikrát každých pár sekund procesem, který jste nespustili, a ovlivňuje stejnou cestu, stává se to více pozoruhodným. Tyto druhy vzorců jsou to, co doufáte odhalit pomocí Process Monitoru.

Nezajímáte se o jednotlivé řádky, ale o celkové chování systému. Když si všimnu, že konkrétní aplikace opakovaně čte jeden konfigurační soubor, mohu předpokládat, že kontroluje změny, které nikdy nenajde. Soubor může zaznamenávat data, o kterých jste nečekali, že je bude uchovávat, pokud je neustále zapisován do dočasné cesty. I když samostatně jsou tyto operace neutrální, význam se buduje na základě toho, jak často k nim dochází.

Filtrování je místo, kde se to stává užitečným

Jedno jednoduché pravidlo promění tisíce událostí v něco, co skutečně můžete číst

Není užitečné konzumovat surová data Process Monitoru najednou. Skutečný smysl jim dává filtrování, a já rád vyberu jeden proces a filtrovaná podle jeho názvu.

Je to docela snadné. Přejděte do nabídky Filtr, vyberte Filtr a přidejte pravidlo, kde Název procesu obsahuje jakoukoli aplikaci, kterou chcete sledovat. Filtr můžete dále zúžit zahrnutím cesty. Tímto způsobem si můžete vybrat, co konkrétní aplikace dělá ve konkrétní složce.

Doporučuji být mírný s filtry, protože jakmile jich budete používat příliš mnoho, můžete ztratit část užitečného kontextu. Události, které jsou odfiltrovány, mohou obklopovat aktivitu a mohou vysvětlovat chování, které pozorujete.

Také si nespletete filtrování s zvýrazňováním. Zvýrazňování zachovává celý proud; nicméně udržuje vaši pozornost na konkrétních událostech, na kterých vám může záležet. Zvolím zvýrazňování, když potřebuji pochopit, jak událost zapadá do širšího kontextu.

Co chytíte, jakmile začnete hledat

Chování na pozadí, kterého si většina lidí nikdy nevšimne, dokud jej neuvidí

Co jsem našel nejzajímavější, nebyla samotná aktivita, ale to, co představuje pro systém, o němž věřím, že je nečinný. Prohlížeče neustále zapisují do složek cache, aktualizují záznamy a spravují dočasná data, i když máte otevřenou pouze jednu kartu.

I když se souboru několik hodin nedotknete, nástroje pro synchronizaci cloudu budou i přesto provádět periodické kontroly adresářů. Další vrstvu představují bezpečnostní nástroje, které soubory skenují hned poté, co jsou zapsány; Process Monitor ukazuje tento přenos mezi zapisovačem a skenerem.

Data také ukazují aktivitu disku, když se spustí Windows Search při indexování obsahu při změně souborů nebo během plánovaných spuštění. I když nic z toho není nebezpečné ani neočekávané, má smysl rozumět tomu, co je pro váš specifický systém normální. Tato základní úroveň vám pomáhá identifikovat potenciální problémy dříve, než se zhorší.

Když všechno spojíte dohromady a něco se necítí správně

Process Monitor se stal mým nástrojem, na který se obracím, když nemohu problém přesně určit pomocí běžných nástrojů Windows pro odstraňování problémů. Filtroval jsem podle názvu procesu aplikace, když reaguje pomalu nebo se chová nepředvídatelně, a sledoval jsem sloupec Výsledek. Opakované záznamy ACCESS DENIED ukazují, že existují problémy s oprávněními.

Když nemohu vysvětlit určitou činnost disku, zejména při používání Správce úloh, filtrování podle operací WriteFile a třídění podle procesu přináší jasno. Process Monitor zajišťuje, že jen nepředpokládáte, ale skutečně pozorujete chování systému.