Sysinternal – kostenlose Tools für den Administrator, Teil 2 Optimale Prozessüberwachung mit dem Process Monitor

Mit dem Sysinternal-Tool Process Monitor bleiben keine Aktivitäten und Zugriffe der Prozesse auf das Dateisystem und die Systemregistrierung im Verborgenen. Der Process Monitor eignet sich dadurch besonders zur Fehlersuche bei störrischen Prozessen und dem Auffinden von Schadprogrammen.

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

Vitel GmbH

Microsoft Deutschland GmbH

Eine Warnung vorweg: Der Process Monitor liefert innerhalb kürzester Zeit eine riesige Fülle an Echtzeitinformationen über Aktionen der laufenden Prozesse und Threads. Glücklicherweise hält er tiefgreifende Auswertungsfunktionen bereit, um genau die Informationen zu finden, die für den Anwender von Bedeutung sind.

Betrachtet man alle Sysinternal-Tools, ist der Process Explorer eines der leistungsfähigsten aus diesem Werkzeugkasten. Eine genauere Betrachtung des Tools sei daher jedem Administrator ausdrtücklich empfohlen.

Das Programmfenster des Process Explorers ist recht übersichtlich. In der Symbolleiste wählt der Anwender, welche Aktionen fortlaufend protokolliert werden sollen. Hierzu zählen Zugriffe auf das Dateisystem (z.B. Inhalt lesen, Inhalt ändern, Datei anlegen), Zugriffe auf die Systemregistrierung (z.B. Werteänderungen, Anlegen von Schlüsseln) und Prozess- und Thread-Aktivitäten (z.B. Start eines Prozesses, Beendigung eines Prozesses).

Das Protokoll der ausgewählten Aktionen erscheint in einer schnell wachsenden Liste, die unter anderem folgende Informationen enthält: Zeitpunkt, Prozess-Name, Operation, Pfad und Ergebnis sowie Detailinformationen.

Mit Filtern bestimmte Aktionen finden

Wem diese Liste zu lang und unübersichtlich ist, kann sie mit Filtern auf das gewünschte Maß reduzieren. Der Anwender kann beispielsweise über die Angabe einer SID oder eines Benutzernamens nur die Aktionen ausgeben lassen, die von einem Prozess stammen, den dieser Benutzer gestartet hat. Natürlich ist auch die Beschränkung auf einen bestimmten Prozess möglich, was sogar über einen Mausklick auf das entsprechende Anwendungsfenster möglich ist. Das im Process Monitor erstellte Protokoll lässt sich zur späteren Verwendung abspeichern.

Detaillierte Aktivitätsinformationen abrufen

Über einen Doppelklick auf die jeweiligen Protokolleinträge ruft der Anwender eine Detailansicht auf. Ein neues Fenster liefert weitergehende Informationen auf drei Registerkarten:

• Event: Beschreibung des aufgetretenen Ereignisses
• Process: Beschreibung des ursächlichen Prozesses
• Stack: Stack-Inhalt zum Zeitpunkt des Ereigniseintritts

Über die Stack-Angabe kann der Anwender gegebenenfalls herausfinden, welche zuletzt ausgeführte Aktion zum Blockieren eines Prozesses geführt hat.

Prozessbaum und Boot-Überwachung

Über den Menübefehl „Tools/Process Tree“ ruft der Anwender eine Darstellung des Prozessbaums auf. Über diesen sieht er die Beziehungen der Prozesse untereinander und kann so Abhängigkeiten aufspüren.

Manchmal treten Probleme mit Prozessen schon während des Boot-Vorgangs auf. Auch hier hilft der Process Monitor. Über „Options/Enable Boot Logging“ wird die Überwachung des Boot-Vorgangs eingeschaltet. Hiermit wird schon in einer frühen Boot-Phase begonnen. Der Anwender findet das daraus resultierende Protokoll in einer Log-Datei im Windows-Installationsordner.

Process Monitor scriptgesteuert

Der Process Monitor kann außerdem auch aus Scripten oder Batch-Dateien heraus gestartet werden. Über eine Reihe von Kommandozeilenparametern wird das Tool dabei gesteuert.

Systemvoraussetzungen und Installation

Der Process Monitor unterstützt die Betriebssysteme Windows 2000 SP4 mit Rollup 1, Windows 2003 Server SP1, Windows XP SP2 sowie Windows Vista. Bei letzteren auch die x64-Versionen.

Eine Installation ist nicht notwendig. Das unter unten angegebener Adresse erhältliche Downloadpaket enthält die direkt lauffähige EXE-Datei sowie eine ausführliche Hilfe der Programmfunktionen.

(ID:2008750)