Process Monitor 2.0

Process Monitor已推出V2.0了，我注意其中最大的改變是多了兩種擷取記錄: Network Activity及Profiling Events。

Network Activity檢視可以錄下程式透過網路對外溝通的狀況，等於把TCP View的功能也整合進來。如此可以一併看程式讀寫什麼檔案，接著透過網路對哪些主機收發資料，對軟體行為的剖析能力又更上一層樓。

以上回說過的C#下載網站檔案為例，Process Monitor 2.0可以抓到程式連線網站下載檔案的活動記錄。

 

Profiling Events則是要求Process Monitor定期掃瞄系統所有Active Thread的Kernel Mode/User Mode CPU耗用狀況，Context Switch次數等等。

由於Process Monitor抓取資料的範圍愈來愈豐富，很短時間內就會累積十分可觀的Event數目，對系統是項負擔(我發現2.0起啟動及停止擷取時會有幾秒的Delay)。如果你並不需要事後調整Filter及切換File/Registry/Network檢視，可以利用選單Filter/Drop Filtered Events將不符合設定條件的事件丟棄，整體操作會輕巧許多，但如此會喪失事後重調Filter抓出線索的機會，如何取捨視需要而定。

另外，Tools Menu裡有不少有用的工具，Process Tree可以展開類似Process Explorer的Process從屬結構樹狀圖，Unique Values可列出某欄位所有出現過的值，而Count Occurences則可進一步統計某欄位各值出現的次數。

Process Monitor又更威了!