Windows analyseren met Process Monitor

Voor het oplossen van Windows-problemen is Process Monitor een enorm krachtige tool, die je regelmatig verder kan helpen. Hoewel de interface bedrieglijk eenvoudig oogt, kan de tool zelf behoorlijk intimiderend zijn. Zelfs gevorderde Windows-gebruikers kunnen hier wel wat meer uitleg bij gebruiken. Daarom besteden we twee artikelen aan Process Monitor, deel 1 in c’t 11 en deel 2 in c’t 12/2017.

Het gratis Process Monitor houdt van Windows en alle actieve toepassingen bij welke bestanden, mappen en registersleutels benaderd worden. Verder monitort het programma al het netwerkverkeer, controleert het welke processen starten en stoppen en houdt het nog een aantal andere dingen bij. Je kunt er bijvoorbeeld precies mee uitzoeken waar het bij een programma misgaat door ontbrekende toegangsrechten en waar in het register een bepaalde instelling wordt bewaard. Process Monitor kan zelfs het complete boot-proces monitoren.

Je moet wel even je weg vinden in het programma. Zo bevat de werkbalk afgezien van de bekende pictogrammen voor openen en opslaan allerlei knoppen die je niet in andere programma’s aantreft. Bovendien zijn Windows en de geopende toepassingen dermate hyperactief, dat Process Monitor elke seconde honderden gebeurtenissen registreert, zelfs als je als gebruiker helemaal niets doet. Ga je de pc daadwerkelijk gebruiken, dan levert dat al snel een stortvloed van honderdduizenden of zelfs miljoenen gebeurtenissen op. Zulke hoeveelheden kun je niet zomaar bekijken en analyseren.

Om vat te krijgen op de gebeurtenissen zijn er filters. Soms moet je online onderzoek doen om te ontdekken wat er nu eigenlijk gebeurt. Beter gezegd: de informatie is af en toe zo complex dat je je erin moet verdiepen om het te begrijpen. Het kan er op uitdraaien dat je dit proefondervindelijk oplossingen moet testen. Maar dat is niet erg, want met wat geduld en een beetje geluk breng je het met Process Monitor vaak tot een goed einde.

Je hoeft niet bang te zijn dat Process Monitor je Windows-installatie in de soep draait. Want hoewel Process Monitor erg krachtig is, kan de tool niets kapot maken. Het is puur een analysetool zonder welke andere functionaliteit dan ook, dus het ergste wat er kan gebeuren is dat je geen oplossing vindt. Wat basale kennis van de werking van het Windows-register en de indeling van bestanden en mappen op je schijf, is wel een vereiste. Anders kom je niet ver.

Je vindt Process Monitor als zip-bestand op de website sysinternals.com of direct als uitvoerbaar bestand op live.sysinternals.com. Deze laatste locatie kun je ook direct vanuit Windows Verkenner openen door in de adresbalk live.sysinternals.com te typen, dus met een dubbele backslash. Na enige tijd verschijnt de toolverzameling van Sysinternals dan als netwerkmap. Klik door naar de subdirectory Tools en open het bestand Procmon.exe om de tool te starten. Installeren is niet nodig. Vanwege de bestandsnaam wordt Process Monitor ook vaak ‘Procmon’ genoemd.

Zelfs voor de methode zonder installatie heb je nog steeds beheerdersrechten nodig. De eerste keer dat je het programma opent, moet je eenmalig de licentievoorwaarden accepteren. Daarna verschijnt meteen een dialoogvenster waar je filters kunt instellen. De belangrijkste knop hier is ‘Reset’. Door daarop en vervolgens op ‘Apply’ te klikken, zet Procmon de filters terug naar de standaardwaarden. Dat is erg handig als je iets verkeerd hebt gedaan bij het instellen van filters of wanneer je andere filters wilt toepassen.

De rest van dit artikel lees je in c’t 11/2017 vanaf pagina 128.