个人主页杨利杰YJlio❄️个人专栏《Sysinternals实战教程》 《Windows PowerShell 实战》 《WINDOWS教程》 《IOS教程》《微信助手》 《锤子助手》 《Python》 《Kali Linux》《那些年未解决的Windows疑难杂症》让复杂的事情更简单让重复的工作自动化Process Monitor 学习笔记5.3过滤、强调与“收藏”——把 1000 万行变成 100 行1. 为什么 Procmon 一定要先学过滤2. Filter 基础字段、条件、动作3. Drop Filtered Events过滤不是隐藏而是止损4. 常用过滤模板直接拿来改4.1 应用启动失败模板4.2 权限与共享冲突模板4.3 写操作定位模板4.4 慢调用定位模板4.5 网络连接模板5. Highlight 高亮让关键事件一眼跳出来6. “收藏”与复用把一次经验变成团队模板7. 查找、排序与跳转把剩下的针捞出来7.1 Ctrl F 查找关键字7.2 按 Result 或 Duration 排序7.3 Jump To 联动验证8. 稳态打法从混沌到洞察的 6 步曲8.1 第一步加载模板8.2 第二步清屏复现8.3 第三步复现后立刻暂停8.4 第四步先看高亮再看 Detail8.5 第五步必要时看 Stack9. 常见误区这些坑很容易让你误判10. 如何验证过滤结果是否可靠10.1 验证是否覆盖复现窗口10.2 验证是否包含目标进程和子进程10.3 验证异常是否能重复出现10.4 验证正常机器是否不同11. 总结过滤是 Procmon 的第一生产力1. 为什么 Procmon 一定要先学过滤使用Process Monitor排障时最容易出现的误区不是“抓不到日志”而是抓得太多。文件系统、注册表、进程线程、网络事件同时涌进来几秒钟就可能刷出成千上万条记录。表面上看信息很多实际上真正有用的线索会被噪声淹没。所以在 Procmon 里过滤不是锦上添花而是排障的第一步。没有过滤后面的 Result、Detail、Duration、Stack 都很难发挥价值。你看见的不是证据链而是事件洪水。我的理解是Procmon 的过滤器不是“让界面清爽一点”而是把排障边界固定下来。比如用户反馈 Outlook 加载项异常如果你不先过滤OUTLOOK.EXE就会同时看到系统服务、杀软、Teams、OneDrive、浏览器、输入法等大量无关事件。结果你以为自己在排查 Outlook实际是在全系统事件里撞运气。真正稳定的做法是先固定目标进程再固定事件类型然后按 Result、Path、Duration、Detail 继续收窄。这样才能把“1000 万行事件”压成真正值得看的“100 行”。这张图对应本文核心先把海量事件流压缩成目标结果集再谈分析。2. Filter 基础字段、条件、动作Procmon 的过滤器入口是Filter…快捷键是Ctrl L。它的配置逻辑并不复杂本质上就是三件事选字段、设条件、定动作。组成说明常见示例字段你要判断哪一列Process Name、Operation、Path、Result、Category、Detail、Duration条件如何匹配这个字段is、contains、begins with、ends with、greater than动作匹配后怎么处理Include 或 Exclude最常见的第一条规则通常是Process Name is 目标进程 → Include比如排查资源管理器就写Process Name is explorer.exe → Include排查安装程序就写Process Name is setup.exe → Include Process Name is msiexec.exe → Include这里要注意一个现场细节有些软件会拉起子进程、更新进程或辅助服务。如果只过滤主进程可能会漏掉真正执行文件写入或注册表写入的子进程。所以遇到安装、升级、启动链路类问题时建议配合 Process Tree 或按时间线确认父子进程关系。不要上来就 Exclude SUCCESS。很多性能问题里所有事件都是 SUCCESS但 Duration 很高。你把 SUCCESS 排除了反而把慢调用证据删掉了。3. Drop Filtered Events过滤不是隐藏而是止损Procmon 里有一个非常重要的选项Drop Filtered Events。这个选项很多人知道但没有真正理解它的边界。普通过滤更像是“界面上不显示”而启用 Drop Filtered Events 后不符合过滤规则的事件会在采集阶段被丢弃。它的价值是减少内存、日志和分析压力特别适合长时间采集或事件量很大的场景。匹配目标不匹配目标系统产生大量事件过滤规则判断保留到日志Drop 丢弃进入主界面分析推荐流程先配置过滤规则再启用 Drop Filtered Events然后 Ctrl X 清屏最后复现问题。但这里必须说清楚风险如果过滤规则写错Drop Filtered Events 会把本该保留的证据直接丢掉。丢掉之后后面无法恢复。因此在不确定过滤规则是否准确时可以先不开 Drop短时间试抓一次确认过滤结果没问题后再开启 Drop 进入正式采集。Drop Filtered Events 是性能止损工具不是新手乱试过滤器的保险按钮。4. 常用过滤模板直接拿来改下面这组模板适合日常桌面运维排障。不要机械全加应该根据问题类型选择。过滤器的目标不是“复杂”而是“边界清楚”。4.1 应用启动失败模板适合软件打不开、启动闪退、启动白屏、加载配置失败这类问题。Process Name is myapp.exe → Include Category is File System → Include Category is Registry → Include Result is SUCCESS → Include不要急着排除如果事件仍然很多可以继续收窄Path contains \ProgramData\Vendor → Include Path contains \AppData\Local\Vendor → Include Path contains HKCU\Software\Vendor → Include4.2 权限与共享冲突模板适合保存失败、配置写入失败、文件删除失败、目录无法访问。Result is ACCESS DENIED → Include Result is SHARING VIOLATION → Include这类问题必须继续看 Detail尤其是 Desired Access 和 ShareMode。只看到 ACCESS DENIED 不能直接改权限只看到 SHARING VIOLATION 也不能只告诉用户“文件被占用”。高质量结论要写清楚哪个进程对哪个对象申请什么权限返回什么结果。4.3 写操作定位模板适合分析软件安装、升级、卸载、配置落盘、日志写入。Operation begins with Write → Include Operation is RegSetValue → Include Operation is SetRenameInformationFile → Include Operation is SetDispositionInformationFile → Include写操作很适合做“副作用定位”。比如软件安装后到底写了哪些文件、改了哪些注册表项、是否写入 ProgramData、HKLM 或 HKCU都可以通过这类过滤快速观察。4.4 慢调用定位模板适合启动慢、打开文件慢、登录后卡顿。Duration is greater than 0.05 → Include这里的阈值不固定。0.05 秒只是一个起点。对于高频小 IO10ms 可能已经值得关注对于网络路径、证书校验、远程盘访问100ms 以上更值得排序分析。性能问题不能只看 Result。很多慢问题的 Result 都是 SUCCESS真正异常的是 Duration 和重复频率。4.5 网络连接模板适合判断某个进程是否联网、是否反复重连、是否存在超时。Category is Network → Include Result contains TIMEOUT → Include Result contains RESET → Include Operation contains TCP → Include注意Procmon 不是抓包工具。它能帮助我们看到进程级网络行为但不能替代 Wireshark 分析报文内容。如果要看 TLS、DNS、HTTP 细节需要配合网络抓包工具。5. Highlight 高亮让关键事件一眼跳出来Filter 负责减少事件数量Highlight 负责提升关键事件的可见性。两者不是一回事。打开 Highlight 的快捷键是Ctrl H。它和过滤器的配置方式类似也是按字段和条件匹配但结果不是 Include 或 Exclude而是给匹配事件上色。我一般建议按下面的颜色逻辑做一套基础高亮高亮对象推荐颜色思路用途ACCESS DENIED红色权限、策略、安全软件拦截SHARING VIOLATION橙色文件占用、共享模式冲突NAME NOT FOUND / PATH NOT FOUND黄色路径、键值、配置探测REPARSE紫色重解析、符号链接、重定向Duration 超阈值蓝色性能热点、慢调用写操作青色或黄色配置落盘、文件写入、注册表写入实战顺序必须是先 Filter 降噪再 Highlight 提醒。如果不先过滤直接高亮界面仍然会非常拥挤。颜色多了以后反而会变成新的噪声。高亮的目标是辅助观察不是把每一种事件都染成不同颜色。高亮不等于过滤。高亮不会减少事件数量只是改变显示效果。6. “收藏”与复用把一次经验变成团队模板这里说的“收藏”不是浏览器收藏夹而是把过滤器、列配置、高亮规则沉淀成可复用模板。Procmon 真正进入团队化使用靠的不是某个人记住了多少规则而是大家能复用同一套分析口径。如果当前版本支持Save Filter / Load Filter可以把过滤规则保存成过滤器文件。更通用的方式是通过保存完整配置把过滤器、列集、高亮、显示布局统一沉淀下来。建议团队按场景建立模板库模板名称适用场景00_base_clean基础清噪排除明显无关路径10_app_start_fail应用启动失败20_access_denied权限拒绝与策略阻断30_file_lock文件占用与共享冲突40_perf_slow_path慢路径与高耗时调用50_network_connect网络连接与超时60_office_addinOffice / Outlook 插件异常模板命名不要随意。推荐使用“编号 场景 目标”的方式这样新同事打开模板库时不需要猜哪个文件该用。00_base_clean.pmc 10_app_start_fail.pmc 20_access_denied.pmc 30_file_lock.pmc 40_perf_slow_path.pmc 50_network_connect.pmc 60_outlook_addin.pmc如果只是个人排障保存模板是提高效率如果是团队排障保存模板是统一证据口径。7. 查找、排序与跳转把剩下的针捞出来过滤之后日志数量会明显下降但仍然可能有几百行甚至几千行。这时就需要配合查找、排序和跳转把线索进一步压缩。7.1 Ctrl F 查找关键字查找适合在剩余事件中快速定位关键对象。例如.dll policy config Delete Access Vendor Addins CLSID查找不是替代过滤而是在过滤后的结果里继续定位。尤其是排查插件、配置文件、注册表项时Ctrl F 很实用。7.2 按 Result 或 Duration 排序如果是错误类问题可以先按 Result 排序把 ACCESS DENIED、SHARING VIOLATION、PATH NOT FOUND 聚到一起看。如果是性能问题就优先按 Duration 排序把最慢调用拉出来。错误问题看 Result性能问题看 Duration配置问题看 Path 和 Detail。7.3 Jump To 联动验证Procmon 的右键菜单可以快速跳转到文件路径或注册表位置。这个动作很适合做现场验证。跳转对象验证内容文件路径文件是否存在、ACL 是否正确、是否被占用注册表路径键值是否存在、权限是否正确、32/64 位路径是否一致进程对象是否为目标进程、是否存在子进程或注入模块但是要注意跳转验证前最好先保留截图或导出日志。现场排障不要急着修改对象否则证据链会被你自己破坏。先留证再修复。先确认对象再动权限。不要看到报错就马上改系统状态。8. 稳态打法从混沌到洞察的 6 步曲Procmon 用得好不是因为你点了多少功能而是因为你有固定的分析节奏。下面这套 6 步流程适合沉淀成团队 SOP。加载模板或新建核心过滤规则启用 Drop Filtered EventsCtrl X 清屏复现问题并暂停捕获看高亮事件与慢调用读 Detail 并查看 Stack保存模板并沉淀结论8.1 第一步加载模板如果已经有团队模板先加载模板。没有模板时至少先建立三条核心规则目标进程、目标类别、关键异常。8.2 第二步清屏复现过滤规则配置好以后使用Ctrl X清屏然后再复现问题。这个动作非常重要因为它能保证时间线干净。8.3 第三步复现后立刻暂停问题复现完成后立即停止捕获。不要一边继续采集一边慢慢翻否则新事件会不断插进来破坏分析窗口。8.4 第四步先看高亮再看 Detail高亮事件只能告诉你“可能有价值”不能直接得出结论。真正要下判断还要回到 Detail看权限、共享模式、Disposition、重解析信息、耗时等字段。8.5 第五步必要时看 Stack当你需要判断“是谁触发了这个操作”时就要看 Stack。比如同样是 CreateFile 失败可能是应用自身发起也可能是第三方安全模块、插件 DLL、过滤驱动参与了调用链。处理方向完全不同。Stack 的价值不是看懂每一帧而是识别关键的非系统模块。9. 常见误区这些坑很容易让你误判Procmon 过滤本身不难难的是不要被自己写的规则骗了。下面这些误区在现场排障里很常见。误区表现正确处理一上来排除 SUCCESS性能证据被删掉性能问题先保留 SUCCESS看 Duration过滤太狠问题复现了但日志里没有关键事件先不开 Drop 试抓再正式启用只高亮不降噪满屏颜色仍然看不懂先 Filter再 Highlight看到 NAME NOT FOUND 就修路径正常探测被误判成故障看重复频率、耗时和时间点看到 BUFFER OVERFLOW 就当错误把长度探测误判为故障多数情况下可忽略只保存 PML 不保存模板同事复盘口径不一致同步 PMC / PMF / 截图说明复现前不清屏历史事件干扰判断设置过滤后 Ctrl X 再复现修复前不留证故障被改掉无法复盘先保存 PML再处理对象最危险的不是没抓到日志而是抓到了日志却用错误过滤规则得出错误结论。这里要特别强调一点过滤器只能帮助你缩小范围不能替你判断根因。过滤后的 100 行事件仍然需要结合时间线、Detail、Stack 和正常机器对比才能形成证据链。10. 如何验证过滤结果是否可靠过滤结果本身也需要验证。否则你可能只是把看不懂的噪声变成了看似整齐的错觉。10.1 验证是否覆盖复现窗口确认日志时间线是否覆盖了用户实际操作。例如用户点击软件后 5 秒卡住日志里必须覆盖点击前后这段时间。如果复现窗口没抓到再漂亮的过滤结果也没意义。10.2 验证是否包含目标进程和子进程很多安装器和企业软件都会拉起子进程。如果只抓主进程可能漏掉真正执行操作的进程。遇到这类问题建议先观察 Process Create再回头补过滤规则。10.3 验证异常是否能重复出现单次异常不一定是根因。高质量证据应该能重复出现或者能和用户现象时间点稳定重合。10.4 验证正常机器是否不同如果条件允许用同版本软件、同权限用户、同网络环境的正常机器对比。正常机器没有的异常才更有价值。好的过滤结果应该能回答四个问题抓到了谁、抓到了什么时候、抓到了什么异常、异常是否和现象有关。11. 总结过滤是 Procmon 的第一生产力Procmon 的强大不在于它能抓多少事件而在于它能把系统行为还原成可分析、可验证、可复盘的证据。过滤、强调和模板复用正是把这个能力落地的关键。本篇最重要的结论可以压缩成三句话第一Filter 负责降噪Highlight 负责提醒模板负责复用第二Drop Filtered Events 能降低压力但规则写错会直接丢证据第三过滤后的事件仍然不是结论必须继续看 Detail、Duration、Stack 和时间线。从企业桌面支持角度看Procmon 过滤模板就是排障经验的标准化载体。个人会用工具不难团队能用同一套证据口径复盘才是真正有价值。后续处理 Outlook、Explorer、OneDrive、Teams、安装失败、权限拒绝、启动慢等问题时都可以先从本文这套方法开始先收窄对象再保留证据最后验证根因。不要让 Procmon 变成“看热闹”的工具它应该是帮你把问题钉到具体对象上的证据链工具。返回顶部
