Rastree la creación de procesos y el tiempo de salida utilizando Process Monitor

Mi publicación anterior Lista de procesos en ejecución y sus tiempos de creación lo ayuda a rastrear los procesos que se están ejecutando actualmente. ¿Y la publicación Cómo encontrar si la ventana de programa desconocido que se abrió y cerró inmediatamente fue una tarea programada? le indica si la última ventana del programa ejecutado fue una tarea programada o no.

Si bien esas publicaciones pueden ser útiles para saber qué se está ejecutando en el sistema, todavía falta algo con esos métodos.

La primera publicación habla sobre Process Explorer, que muestra la vista en tiempo real de los procesos en ejecución, pero no realiza un seguimiento de los procesos que se ejecutaron unos minutos antes y luego terminaron.

Process Explorer resalta nuevos procesos durante un par de segundos, pero no registra un historial de tiempo o procesos de creación y finalización. Y el segundo enlace de arriba, solo se ocupa de las tareas programadas. Sin embargo, es posible que necesite obtener la lista de procesos (especialmente los procesos de corta duración) que se ejecutaron durante algún tiempo y luego finalizaron. Process Monitor puede ser útil para obtener esa información.

Uso de Process Monitor para rastrear eventos de inicio y salida de procesos

Inicie Process Monitor, active el botón de actividad de proceso y desactive el resto.

Luego haga clic en el botón Filtro (CTRL + L) para iniciar el cuadro de diálogo Filtro de Monitor de proceso .

Configure los filtros de la siguiente manera:

 Operación - contiene - Proceso 

Haga clic en Agregar, Aceptar. Process Monitor comenzará a capturar eventos y mostrará resultados que contengan Creación de proceso, Inicio de proceso, Salida de proceso en la columna Operación.

Consejo rápido: si va a ejecutar el seguimiento durante un largo período de tiempo, considere habilitar Drop Filtered Events en el menú Filtro. Esto asegura que su memoria o disco no se llene innecesariamente; solo mantiene el registro de los eventos que pasaron su filtro.

Aquí está. Process Monitor ha registrado algunos eventos de inicio de proceso y salida de proceso. Para conocer más detalles de un evento, haga doble clic en la entrada. Muestra la línea de comandos completa y la ruta de ese proceso.

Opcionalmente, puede habilitar la columna Línea de comando en el cuadro de diálogo Selección de columna de Monitor de proceso. En el menú Opciones, haga clic en Seleccionar columnas ... y active la Línea de comandos, y también el Número de secuencia .

Ahora, una columna llamada Línea de comando aparece en la ventana de resultados.

Árbol de procesos

También puede ver la lista de procesos en un formato de árbol que también muestra los Procesos principales, la Ruta, el Tiempo de vida y otra información. En el menú Herramientas, haga clic en Árbol de procesos (CTRL + T).

Para hacer el gráfico de barras de tiempo de vida, use el tiempo de rastreo (tiempo de inicio de captura) como base, en lugar de la sesión de inicio, habilite las líneas de tiempo para cubrir solo los eventos mostrados .

Para futuros análisis, puede guardar los eventos en un archivo .PML que contenga Todos los eventos o los eventos que se muestran actualmente. Si va a enviar este registro (para solucionar un problema) a un amigo o alguien que conozca que pueda interpretar el registro, luego comprímalo antes de enviarlo. La compresión reduce el tamaño del archivo de registro .PML en un 90%.