מדריך לכלי Process Explorer - איך לראות מה באמת קורה במחשב שלכם

מנהל המשימות הרגיל של ווינדוס נותן לכם תמונה חלקית מאוד של מה שקורה במערכת. הוא מראה לכם רשימת תהליכים, קצת נתוני מעבד וזיכרון, וזהו. Process Explorer, אחד הכלים המרכזיים בחבילת Sysinternals, נותן לכם את התמונה המלאה - עם כל השכבות שמנהל המשימות פשוט לא טורח להראות. בואו נעבור על איך באמת עובדים איתו.

למה בכלל להחליף את מנהל המשימות

התשובה הפשוטה היא שמנהל המשימות מספר לכם מה רץ, אבל Process Explorer מספר לכם למה זה רץ, מי הפעיל את זה, ומה זה בדיוק עושה. זה ההבדל בין לראות רשימה שטוחה של שמות, לבין לראות עץ מלא שמראה לכם קשרים - איזה תהליך הוא ה"אבא" של איזה תהליך, מתי הוא התחיל לרוץ, ומאיזה קובץ בדיוק הוא נטען.

עץ התהליכים - הדבר הראשון שרואים

בפתיחת Process Explorer, התהליכים מוצגים כעץ היררכי במקום רשימה שטוחה. explorer.exe מריץ תהליכים שאתם פותחים, שיכולים בעצמם להריץ תהליכי משנה. זה נראה טריוויאלי, אבל זה בדיוק מה שעוזר לזהות דברים חריגים. אם אתם רואים תהליך בשם מוזר שרץ מתחת ל-svchost.exe בלי הסבר הגיוני, זה סימן לבדוק לעומק. תהליכים לגיטימיים בדרך כלל נטענים ממקומות צפויים, על ידי הורים צפויים.

צביעה לפי סוג - ההיגיון מאחורי הצבעים

Process Explorer צובע תהליכים בצבעים שונים לפי הקשר שלהם - כחול בהיר לתהליכים שרצים תחת המשתמש שלכם, ורוד לשירותים, אפור לתהליכים "מושהים", וכן הלאה. זה לא קישוט - זה עוזר לסרוק במבט מהיר עשרות תהליכים ולזהות מיד לאיזו קטגוריה כל אחד שייך, בלי לפתוח כל אחד בנפרד.

בדיקת חתימה דיגיטלית - הדרך לזהות זיוף

אחת התכונות החזקות ביותר בכלי היא היכולת לבדוק אם קובץ הרצה חתום דיגיטלית על ידי חברה מוכרת. תחת Options אפשר להפעיל בדיקת חתימות (Verify Image Signatures), ואז עמודה חדשה מראה אם כל תהליך חתום כראוי. תהליך בשם מוכר, כמו svchost.exe, שרץ מנתיב לא סטנדרטי או בלי חתימה תקינה, זה בדיוק סוג התהליך שדורש בדיקה נוספת - זו טכניקה נפוצה שתוכנות זדוניות משתמשות בה כדי להתחזות לתהליכי מערכת לגיטימיים.

חלונית התחתונה - DLLs והנדלים

לחיצה על תהליך ופתיחת החלונית התחתונה (View > Lower Pane View) מציגה שני מצבים שימושיים מאוד:

• DLLs - כל ספריות ה-DLL שהתהליך טען לזיכרון. שימושי כשרוצים להבין מאיפה תהליך "שואב" קוד, או לאתר בעיה שבה גרסת DLL לא תואמת גורמת לקריסה.
• Handles - כל המשאבים שהתהליך מחזיק פתוחים כרגע - קבצים, מפתחות רגיסטרי, ואובייקטי מערכת אחרים. זה שימושי כשקובץ "תפוס" ולא ניתן למחיקה, ורוצים לדעת איזה תהליך מחזיק אותו.

חיפוש handle או DLL בכל התהליכים

תכונה שחוסכת המון זמן היא Find Handle or DLL (Ctrl+F). אם קובץ נעול ואתם לא יודעים מי נועל אותו, מקלידים את שם הקובץ בחיפוש, ו-Process Explorer סורק את כל התהליכים ומראה בדיוק מי מחזיק אותו פתוח. זה חוסך לפעמים שעות ניסוי וטעייה של סגירת תהליכים אחד אחד כדי לגלות מי התוקע.

System Information - מבט על ביצועים

בחלק העליון של הכלי אפשר לפתוח גרפים חיים של מעבד, זיכרון, דיסק ורשת, בדומה למנהל המשימות אבל עם היסטוריה מפורטת יותר וחלוקה ברורה יותר בין תהליכי מערכת לתהליכי משתמש. שימושי מאוד כשמנסים להבין למה מחשב מתנהג איטי בזמן אמת.

מתי תשלפו את הכלי הזה בפועל

בעבודה אמיתית, Process Explorer נשלף בעיקר בשלושה מצבים - כשמחשב מתנהג מוזר ורוצים להבין איזה תהליך אחראי, כשקובץ נעול ולא ניתן למחיקה או שינוי, וכשחושדים בפעילות זדונית ורוצים לבדוק תהליכים לא מוכרים לפני שקוראים לכלי אבטחה כבד יותר.

איפה לומדים את זה בסדר הנכון

כדי להשתמש ב-Process Explorer באמת ביעילות, צריך קודם להבין איך תהליכים ותהליכונים עובדים במערכת ההפעלה - זה בדיוק הנושא שמכוסה בפרק כלי Sysinternals בקורס ווינדוס בסיסי, יחד עם הבנה של מבנה מערכת ההפעלה ומערכות קבצים. בלי הבסיס הזה, הכלי נשאר מסך מלא בנתונים בלי הקשר. הכל בעברית, בחינם, עם תרגול.

ואם אתם רואים תהליך מוזר במחשב ולא בטוחים אם צריך לדאוג ממנו, הצטרפו לקהילה בדיסקורד ותשאלו - עדיף לבדוק מאשר לנחש.