Аналитические Инструменты

Procmon предлагает много способов визуализировать полученные данные и позволить Вам выполнять простой анализ данных событий, собранных в трассировке. Они могут быть найдены в меню Tools:

■ Сводка Действия процесса.

■ Сводка файла.

■ Сводка реестра.

■ Сводка стека.

■ Сетевая Сводка.

■ Сводка Перекрестной ссылки.

■ Граф Оккерренсес.

Сводные диалоговые окна являются все немодальными, таким образом, можно открыть несколько сразу и продолжать взаимодействовать с главным окном.

Сводка Действия процесса.

Сводное диалоговое окно Действия Процесса (показанный в рисунке 4-23) выводит на экран таблицу, перечисляющую каждый процесс, для которого данные были получены с текущим примененным фильтром. Каждая строка в таблице показывает имя процесса и PID, график использования ЦП, числа файла, реестра и сетевых событий, пика фиксации и пика набора работы, и графиков, показывая эти и другие числа, переключающие временную шкалу процесса. Можно сохранить всю информацию о тексте к файлу CSV, нажимая кнопку Save.

Рис. 4-23. Сводное диалоговое окно Действия процесса.

Выбор строки выводит на экран больше информации о процессе у основания диалогового окна — командная строка, запустите и остановите время, и полного пользователя и время ЦП ядра. Двойной щелчок по строке или выбор ее и щелчок по кнопке Detail выводят на экран диалоговое окно Временной шкалы Процесса для того процесса (показанный в рисунке 4-24). Столбцы могут быть изменены или переупорядочены, перетаскивая соответствующие части заголовков столбца.

Временная шкала Процесса (показанный в рисунке 4-24) выводит на экран графики процесса от Сводного диалогового окна Действия Процесса, сложенного друг выше друга в диалоговом окне изменяемого размера. Щелчок по точке в графике выбирает самое близкое соответствующее событие для того процесса в главном окне. Так, например, скажите, что приблизительно в 40 процентах через графики, Вы видите внезапный шип в операциях ввода-вывода файла, частных байтах памяти, и рабочем наборе. Щелкните по той точке в любом из графиков, и самое близкое соответствующее событие для того процесса выбирается в главном окне Procmon.

Рис. 4-24. Обработайте диалоговое окно Временной шкалы.

Сводка файла.

Сводное диалоговое окно Файла, показанное в рисунке 4-25, агрегировало информацию о каждом файле и работе папки, выведенной на экран текущим фильтром, и это группирует результаты на отдельных вкладках путем папкой, и расширением файла. Для каждого уникального пути файловой системы диалоговое окно выводит на экран, сколько полного времени было проведено, выполняя ввод-вывод к файлу; число открывается, завершения, чтения, пишет, Получите ACL, ACL Набора и другие операции; общее количество операций выполняется; и число байтов, считанных из и записанный файлу.

Рис. 4-25. Вкладкой Path Сводного диалогового окна Файла.

Вкладка By Path выводит на экран простой список, в котором каждый уникальный путь появляется как отдельная строка.

Вкладка By Folder (показанный в рисунке 4-26) выводит на экран расширяемый структурный вид, основанный на иерархии папки. Расширяемые узлы папки представляют сумму данных от операций, выполняемых в пределах той иерархии папки. Нерасширяемые узлы показывают данные для операций, выполняемых на том объекте. Например, могло бы быть два узла Программных файлов: нерасширяемый указывает на операции, выполняемые на папке непосредственно, в то время как расширяемый выводит на экран суммы всех операций, выполняемых на его файлах и подпапках.

Рис. 4-26. Вкладкой Folder Сводного диалогового окна Файла.

Вкладка By Extension (показанный в рисунке 4-27) выводит на экран одноуровневое дерево для каждого расширения файла: расширение узла для расширения файла перечисляет все файлы с тем расширением как непосредственные дочерние узлы. Строка, содержащая имя расширения, содержит сумму всех данных для файлов того расширения.

Рис. 4-27. Вкладкой Extension Сводного диалогового окна Файла.

Щелчок по заголовку столбца сортирует таблицу на текущей вкладке тем столбцом. На Папкой и вкладками Расширения, сохраняются группировки, и строки сортируются в пределах их групп. Сортировка столбцов позволяет Вам быстро идентифицировать образцы использования. Например, сортировка столбца на вкладке By Folder идентифицирует, у каких иерархий папки есть наибольшее число операций, чтения байтов или записанный, или время ввода-вывода файла. Сортировка столбца на шоу вкладки By Extension, какие типы файла становятся полученными доступ наиболее. Можно также переупорядочить столбцы, перетаскивая заголовки столбца. (На Папкой и вкладками Расширения, не могут быть перемещены крайние левые столбцы.)

Двойной щелчок по строке устанавливает правило Пути для пути к файлу в той строке к текущему фильтру.

Щелчок по кнопке Filter выводит на экран диалоговое окно Фильтра так, чтобы можно было далее совершенствовать фильтр.

Кнопка Save на каждой вкладке сохраняет текущее табличное представление как файл CSV.

Сводка реестра.

Очень как Сводное диалоговое окно Файла, Сводное диалоговое окно Реестра (показанный в рисунке 4-28) перечисляет каждый путь реестра, на который ссылаются операции реестра в таблице, наряду с тем, сколько полного времени было проведено, выполняя ввод-вывод к ключу; число открывается, завершения, чтения, пишет, и другие операции; и суммарный итог их. Щелкая по заголовку столбца виды по условию в том столбце, и столбцах могут быть переупорядочены, перетаскивая заголовки столбца. Двойной щелчок по строке добавляет правило Пути для пути реестра в той строке к текущему фильтру. Диалоговое окно Фильтра может быть выведено на экран, нажимая кнопку Filter, и можно сохранить данные к файлу CSV.

Рис. 4-28. Сводное диалоговое окно реестра.

Сводка стека.

Сводное диалоговое окно Стека (рисунок 4-29) берет все трассировки стека для каждого прослеживаемого события Procmon-, идентифицирует общности и расхождения в них, и представляет их как расширяемые деревья. Для каждого фрейма в пределах стека вызова можно видеть, сколько времен его выполнение привело к событию Procmon-traceable, совокупное количество времени, проведенное в Procmon-полученных операциях, имени и пути модуля, и абсолютном смещении в пределах него. Сводка Стека также показывает имена функций и путь к и номер строки в пределах исходных файлов для каждого стекового фрейма, если символьная информация доступна. (См. "Стеки вызова и Символы" в Главе 2 для получения дополнительной информации.)

Примечание. Сводка стека не всестороннее покрытие кода и инструмент профилирования. Количества, о которых это сообщает, отражают только число раз, которое имело место событие Procmon-traceable, времена, о которых это сообщает, указывают на количество времени ЦП, проведенного, выполняя те операции, и проценты относительно тех накопленных чисел.

Рис. 4-29. Сводное диалоговое окно стека.

Рисунок 4-29 показывает сводку стека для программы, для которой полная символьная информация доступна. Лучшие два фрейма, представленные в диалоговом окне, показывают что библиотека времени выполнения C

запустите функцию, tmainCRTStartup, названный стандартом wmain точка входа, и что

функции, которые они вызывали, привели к 55 117, разделяют события Procmon-tracked текущим фильтром. Разворачивая дочерние узлы, у которых есть самые большие количества или времена, связанные с ними, можно быстро определить, где объем действия произошел. Более чем 72 процента событий, выведенных на экран с текущим фильтром, были вызваны от InternalWorkItem+0x81, и это вызвало RegSetValueExW 39 806 раз.

Выбор стекового фрейма и нажатие кнопки Go To Event выбирают первое событие в трассировке с соответствующим стеком вызова. Кнопка Source включается, если полная символьная информация доступна для выбранного пункта. Если исходный файл доступен, щелкая по кнопке Source выводит на экран файл в средстве просмотра исходного файла Procmon с обозначенной строкой выбранного исходного кода.

Как с другими сводными диалоговыми окнами, столбцы могут быть сортированы, щелкая по заголовкам, и все кроме крайнего левого столбца могут быть переупорядочены, перетаскивая заголовки.

Отметьте, что создание сводки стека может быть трудоёмким, особенно когда символы разрешаются.

Сетевая Сводка.

Сетевое Сводное диалоговое окно (показанный в рисунке 4-30) перечисляет каждый TCP и конечную точку UDP и порт, существующий в фильтруемой трассировке, наряду с соответствующим числом подключений, разъединений, передается, и получает; общее количество этих событий; и числа байтов отправили и получили. Щелкая по заголовку столбца виды по условию в том столбце, и столбцах могут быть переупорядочены, перетаскивая заголовки столбца. Двойной щелчок по строке устанавливает правило Пути в фильтре для той конечной точки и порта. Диалоговое окно Фильтра может быть выведено на экран, нажимая кнопку Filter, и можно сохранить данные к файлу CSV.