Windows มีเครื่องมือที่แสดงทุกแอปที่มีการเข้าถึงไฟล์บนพีซีของคุณ

ฉันประหลาดใจเมื่อฉันรันเครื่องมือบนคอมพิวเตอร์ Windows ของฉันและเห็นสิ่งที่ฉันคิดว่าระบบไม่ได้ใช้งานกำลังเข้าถึงไฟล์มากกว่าหนึ่งพันไฟล์ในช่วงเวลาสั้น ๆ เบราว์เซอร์กำลังเขียนบันทึก แอปคลาวด์กำลังสแกนโฟลเดอร์ และมีโปรเซสด้านความปลอดภัยที่อ่านไฟล์ทุกไฟล์ทันทีที่ถูกเขียนลงไดรฟ์

โปรแกรม Process Monitor ของ Microsoft เป็นเครื่องมือที่เปิดเผยกิจกรรมทั้งหมดเหล่านี้ที่ฉันไม่เคยรู้ว่ามีอยู่ แตกต่างจาก Task Manager ซึ่งแสดงเปอร์เซ็นต์การใช้ทรัพยากร มันจะแสดงไฟล์ที่แอปของฉันกำลังเข้าถึงแบบเรียลไทม์ การเห็นปริมาณกิจกรรมช่วยให้ฉันเข้าใจคอมพิวเตอร์ของฉันได้ลึกซึ้งขึ้น

พีซีของคุณไม่ได้อยู่เฉยเท่าที่มันดู

ไม่กี่วินาทีแรกใน Process Monitor รู้สึกวุ่นวายด้วยเหตุผล

ฉันคิดทันทีว่าคอมพิวเตอร์ของฉันมีปัญหาเมื่อเปิด Process Monitor เป็นครั้งแรก หน้าต่างถูกเติมทันทีด้วยเหตุการณ์มากกว่าล้านรายการ และแถวต่างๆ ยังคงอัปเดตก่อนที่ฉันจะอ่านมัน ระบบของฉันไม่ได้ทำอะไรเลย แต่ดูเหมือนว่าจะอยู่ภายใต้ความเครียดอย่างหนัก

นี่อาจเป็นกระแสกิจกรรมเดียวกันที่คุณจะสังเกตเห็นบนคอมพิวเตอร์ของคุณ และมันจะมากกว่าปกติในระบบที่เรียกใช้แอปพื้นหลังหลายตัว เมื่อมีแอปพื้นหลังน้อย กระแสจะเบาลง ไม่ว่าอย่างไร ข้อสรุปยังคงอยู่ที่ว่า Windows ยังคงทำงานอย่างต่อเนื่อง

ข้อมูลที่ฉันเห็นไม่ได้เป็นนามธรรม แถวแต่ละแถวชี้ไปที่การกระทำจริง แตกต่างจากตัวจัดการงาน มันไม่ได้แสดงว่าการกระทำเหล่านี้ใช้ทรัพยากรเท่าใด มันแสดงว่าสิ่งที่พวกเขากำลังทำและไฟล์ที่พวกเขามีผลกระทบ สำหรับแต่ละเหตุการณ์ที่เครื่องมือบันทึก มีชื่อกระบวนการ, เส้นทางไฟล์, เวลาที่เกิดเหตุการณ์ และผลลัพธ์

สิ่งที่การดำเนินการไฟล์เหล่านั้นเปิดเผยจริง ๆ

เมื่อคุณเข้าใจรูปแบบ เสียงรบกวนก็เริ่มมีความหมาย

ในตอนแรก สตรีมที่ฉันเห็นรู้สึกเหมือนมีเสียงรบกวนมาก แต่ก็ชัดเจนขึ้นเมื่อฉันได้เรียนรู้ว่าประเภทของแต่ละการดำเนินการหมายถึงอะไร ตารางด้านล่างสรุปเหตุการณ์หลัก:

อย่างไรก็ตาม ตารางซ่อนพฤติกรรมของการดำเนินการเหล่านี้เมื่อเวลาผ่านไป หากคุณสังเกตเห็นเหตุการณ์ WriteFile เพียงครั้งเดียว อาจไม่มีอะไรที่น่าสังเกตเกี่ยวกับมัน ยกตัวอย่างเช่น หากคุณสังเกตเห็นการดำเนินการเดียวกันถูกทำซ้ำหลายครั้งทุก ๆ ไม่กี่วินาทีโดยกระบวนการที่คุณไม่ได้เริ่มต้น และส่งผลต่อเส้นทางเดียวกัน มันจะกลายเป็นเรื่องที่น่าสังเกตมากขึ้น รูปแบบลักษณะนี้คือสิ่งที่คุณหวังว่าจะค้นพบโดยใช้ Process Monitor

คุณไม่ได้กังวลเกี่ยวกับแต่ละบรรทัด แต่เป็นพฤติกรรมโดยรวมของระบบ เมื่อฉันสังเกตเห็นแอปเฉพาะอ่านไฟล์คอนฟิกไฟล์หนึ่งซ้ำ ๆ ฉันสามารถสันนิษฐานได้ว่ามันกำลังตรวจสอบการเปลี่ยนแปลงที่ไม่เคยพบ ไฟล์อาจกำลังบันทึกข้อมูลที่คุณไม่คาดคิดว่าจะเก็บไว้ถ้ามันเขียนไปยังเส้นทางชั่วคราวอย่างต่อเนื่อง แม้ว่าการทำงานเหล่านี้โดยตัวมันเองจะเป็นกลาง แต่บริบทจะถูกสร้างขึ้นจากความถี่ที่เกิดขึ้น

การกรองคือจุดที่มันเริ่มมีประโยชน์

กฎง่ายๆ ข้อเดียว เปลี่ยนเหตุการณ์นับพันให้กลายเป็นสิ่งที่คุณสามารถอ่านได้จริง

การบริโภคข้อมูลดิบของ Process Monitor ทั้งหมดในครั้งเดียวไม่ช่วยอะไร การกรองคือสิ่งที่ทำให้มันมีความหมายจริง ๆ และฉันชอบเลือกกระบวนการหนึ่งและกรองตามชื่อของมัน

มันค่อนข้างง่าย ไปที่เมนู Filter เลือก Filter และเพิ่มกฎที่ Process Name รวมถึงแอปใด ๆ ที่คุณต้องการติดตาม คุณยังสามารถจำกัดตัวกรองลงเพิ่มเติมโดยรวมเส้นทางด้วย ด้วยวิธีนี้ คุณสามารถเลือกดูว่าแอปเฉพาะทำอะไรในโฟลเดอร์เฉพาะ

ฉันแนะนำให้ใช้ตัวกรองอย่างพอประมาณ เพราะเมื่อคุณเริ่มซ้อนตัวกรองมากเกินไป คุณอาจสูญเสียบริบทที่เป็นประโยชน์ไป เหตุการณ์ที่ถูกกรองออกไปอาจเป็นสิ่งที่อยู่รอบๆ กิจกรรม และมันอาจอธิบายพฤติกรรมที่คุณกำลังสังเกตอยู่ได้

นอกจากนี้ อย่าสับสนระหว่างการกรองกับการเน้น การเน้นช่วยให้สตรีมทั้งหมดยังคงอยู่ แต่จะช่วยให้คุณสนใจเฉพาะเหตุการณ์บางอย่างที่คุณอาจสนใจ ฉันเลือกการเน้นเมื่อฉันต้องการเข้าใจว่าเหตุการณ์หนึ่งมีบทบาทอย่างไรในบริบทที่กว้างขึ้น

สิ่งที่คุณจะจับได้เมื่อคุณเริ่มมอง

พฤติกรรมเบื้องหลังที่คนส่วนใหญ่ไม่เคยสังเกตจนกว่าจะได้เห็น

สิ่งที่ฉันพบว่าน่าสนใจที่สุดไม่ใช่กิจกรรมตัวมันเอง แต่คือสิ่งที่มันแทนในระบบที่ฉันเชื่อว่ากำลังอยู่ในสถานะว่าง เบราว์เซอร์จะเขียนข้อมูลลงในโฟลเดอร์แคชอย่างต่อเนื่อง อัปเดตบันทึก และจัดการข้อมูลชั่วคราว แม้ว่าคุณจะเปิดแท็บเดียวก็ตาม

แม้ว่าคุณจะไม่แตะไฟล์เป็นเวลาหลายชั่วโมง เครื่องมือซิงค์คลาวด์ก็ยังคงสแกนโฟลเดอร์เป็นระยะ ๆ อีกชั้นหนึ่งมาจากเครื่องมือความปลอดภัยที่สแกนไฟล์ทันทีที่ถูกเขียน; Process Monitor แสดงการส่งต่อระหว่างโปรแกรมเขียนไฟล์กับโปรแกรมสแกนนี้

ข้อมูลยังแสดงกิจกรรมของดิสก์เมื่อมันทำงานสำหรับการค้นหาของ Windows ในขณะที่มันจัดทำดัชนีเนื้อหาเมื่อไฟล์มีการเปลี่ยนแปลงหรือระหว่างการทำงานตามกำหนด แม้ว่าสิ่งเหล่านี้จะไม่เป็นอันตรายหรือไม่คาดคิด แต่มีคุณค่าในการทำความเข้าใจว่าปกติคืออะไรสำหรับระบบของคุณเอง เส้นฐานนี้ช่วยให้คุณระบุปัญหาที่อาจเกิดขึ้นก่อนที่จะรุนแรงขึ้น

การนำทุกอย่างมารวมกันเมื่อบางสิ่งบางอย่างรู้สึกไม่ถูกต้อง

Process Monitor กลายเป็นเครื่องมือที่ฉันใช้เมื่อไม่สามารถระบุปัญหาได้ด้วยเครื่องมือแก้ไขปัญหาของ Windows ที่ใช้กันทั่วไป ฉันกรองตามชื่อกระบวนการของแอปเมื่อมันตอบสนองช้า หรือทำงานไม่เป็นไปตามที่คาด และฉันดูคอลัมน์ผลลัพธ์ การได้รับรายการ ACCESS DENIED ซ้ำๆ แสดงว่ามีปัญหาเรื่องสิทธิ์

เมื่อฉันไม่สามารถอธิบายกิจกรรมดิสก์บางอย่างได้ โดยเฉพาะเมื่อใช้ Task Manager การกรองสำหรับการดำเนินการ WriteFile และการจัดเรียงตามกระบวนการช่วยให้เกิดความชัดเจน Process Monitor ทำให้แน่ใจว่าคุณไม่ได้แค่สรุป แต่กำลังสังเกตพฤติกรรมของระบบจริง ๆ