Переход к Расположению Реестра или Файла

Чтобы перейти к реестру или расположению файла, выберите реестр или событие файловой системы, у которого есть путь, который существует, и нажатие Ctrl+J. Procmon запустит Regedit (для пути реестра) или новое окно Проводника (для пути файловой системы) и переместится к выбранному пути. "Переход к" может также быть вызван, щелкая по значку панели инструментов Jump To Object, или выбирая Переход К в контекстном меню события как показано в рисунке 4-8.

Поиск Онлайн.

Можно искать онлайн имя процесса события, выбирая событие и выбирая Поиск Онлайн из меню Event, или щелкая правой кнопкой по событию и выбирая Поиск Онлайн из контекстного меню как показано в рисунке 4-8. Procmon запустит поиск, используя Ваш браузер по умолчанию и поисковую систему. Эта опция может быть полезной, исследуя вредоносное программное обеспечение или идентифицируя источник нераспознанного процесса.

Фильтрация и Выделение.

Procmon может легко зарегистрировать миллионы событий в короткий срок, инициируемый от десятков различных процессов. Чтобы помочь Вам изолировать мероприятия для Вас, Procmon предоставляет мощные и гибкие возможности фильтрации ограничивать то, что появляется в дисплее, и это предоставляет подобные возможности для того, чтобы выделить определенные события. В примере в рисунке 4-9 Procmon выводит на экран только следствия Доступа запрещен Cinmania.exe и выделяет те события, в которых Путь начинается "с C:\Windows\Fonts". Строка состояния показывает, что, хотя журнал содержит 355 859 событий, только 63 из тех событий соответствуют критериям фильтра и выводятся на экран. Более чем 99.9 процентов полученных событий удаляются из дисплея.

Рис. 4-9. Procmon фильтрующий и выделяющийся пример.

Regmon и Filemon ограничили возможности фильтрации. Одно из их самых больших ограничений было то, что, когда фильтр был применен, что удаленные записи от дисплея, они были постоянно удалены и не могли быть восстановлены. С Procmon фильтруемые записи удаляются только из дисплея, не из базовых данных. Они могут быть выведены на экран снова просто, изменяясь или удаляя фильтр.