จะระบุกระบวนการ Windows ที่ถูกยกเลิกได้อย่างไรหากฉันยังมี PID อยู่

ความเป็นมา:ในระหว่างที่ฉันทำงานข้อตกลงใบอนุญาตสำหรับการติดตั้ง "Microsoft Mouse and Keyboard Center" ก็ปรากฏขึ้นทันที ฉันต้องการเข้าใจว่ากระบวนการเปิดตัวการตั้งค่าใด แต่เมื่อใช้ Process Explorer ฉันเห็นว่ามันหายไปฉันสามารถค้นหา PID ของมันได้ (ดูภาพหน้าจอ)

คำถาม:

หากคุณกำลังใช้Process Explorerคุณอาจรู้สถานการณ์ที่กระบวนการหลักของกระบวนการไม่มีอยู่อีกต่อไปและคุณจะเห็นได้เฉพาะ PID:

มีบันทึก Windows บางอันที่มีการเชื่อมโยง PID กับกระบวนการทำงานอยู่หรือไม่เพื่อให้ฉันทราบว่ากระบวนการใดที่ทำงานภายใต้ PID ที่ให้มา

โดยเฉพาะอย่างยิ่งฉันสนใจสถานการณ์ที่ฉันไม่ได้คาดหวังสิ่งนี้ดังนั้นฉันจึงไม่ใช้Process Monitorเพื่อจับภาพเหตุการณ์ในระบบ

มีบันทึก Windows บางส่วนที่มีความสัมพันธ์ของ PID กับกระบวนการทำงานหรือไม่

โดยค่าเริ่มต้นไม่มีบันทึกดังกล่าว อย่างไรก็ตามคุณสามารถเปิดใช้งานกระบวนการติดตามเหตุการณ์ในบันทึกเหตุการณ์ความปลอดภัยของ Windows

หมายเหตุ:

• gpeditการแก้ปัญหาต้องมีการเปลี่ยนแปลงนโยบายกลุ่มโดยใช้

• น่าเสียดายที่ตัวแก้ไขนโยบายกลุ่ม (gpedit) ไม่ได้รวมอยู่ใน Starter Edition รุ่น Home และ Home Premium ของ Windows

• ดูคำถามที่ถามบ่อย Windows Starter Edition, Home and Home Premium ไม่มี gpedit ฉันจะติดตั้งได้อย่างไร สำหรับคำแนะนำในการติดตั้ง

วิธีใช้เหตุการณ์การติดตามกระบวนการในบันทึกความปลอดภัยของ Windows

ใน Windows 2003 / XP คุณจะได้รับเหตุการณ์เหล่านี้เพียงแค่เปิดใช้งานนโยบายการตรวจสอบติดตามกระบวนการ

ใน Windows 7/2008 + คุณจะต้องเปิดใช้งานการสร้างกระบวนการตรวจสอบและเลือกที่หมวดย่อยการยกเลิกกระบวนการตรวจสอบซึ่งคุณจะพบภายใต้การกำหนดค่านโยบายการตรวจสอบขั้นสูงในวัตถุนโยบายกลุ่ม

เหตุการณ์เหล่านี้มีค่าอย่างไม่น่าเชื่อเพราะพวกเขาให้หลักฐานการตรวจสอบที่ครอบคลุมทุกครั้งที่ปฏิบัติการใด ๆ ในระบบเริ่มต้นเป็นกระบวนการ คุณสามารถกำหนดระยะเวลาที่กระบวนการทำงานโดยการเชื่อมโยงเหตุการณ์การสร้างกระบวนการกับเหตุการณ์การยกเลิกกระบวนการโดยใช้ ID กระบวนการที่พบในทั้งสองเหตุการณ์ ตัวอย่างของเหตุการณ์ทั้งสองจะแสดงด้านล่าง

แหล่งที่มาวิธีใช้เหตุการณ์การติดตามกระบวนการในบันทึกความปลอดภัยของ Windows

วิธีเปิดใช้งานการสร้างกระบวนการตรวจสอบ

1. เรียกใช้ gpedit.msc

2. เลือก "การตั้งค่า Windows"> "การตั้งค่าความปลอดภัย"> "นโยบายท้องถิ่น"> "นโยบายการตรวจสอบ"

   

3. คลิกขวาที่ "ตรวจสอบกระบวนการติดตาม" และเลือก "คุณสมบัติ"

4. ทำเครื่องหมายที่ "สำเร็จ" แล้วคลิก "ตกลง"

   

การติดตามกระบวนการตรวจสอบคืออะไร

การตั้งค่าความปลอดภัยนี้กำหนดว่าการตรวจสอบระบบปฏิบัติการของเหตุการณ์ที่เกี่ยวข้องกับกระบวนการเช่นการสร้างกระบวนการ, การยกเลิกกระบวนการ, จัดการการทำซ้ำและการเข้าถึงวัตถุทางอ้อม

หากมีการกำหนดการตั้งค่านโยบายนี้ผู้ดูแลระบบสามารถระบุได้ว่าจะตรวจสอบเฉพาะความสำเร็จเท่านั้นความล้มเหลวทั้งความสำเร็จและความล้มเหลวหรือไม่ตรวจสอบเหตุการณ์เหล่านี้เลย (เช่นไม่สำเร็จหรือล้มเหลว)

หากเปิดใช้งานการตรวจสอบความสำเร็จรายการตรวจสอบจะถูกสร้างขึ้นทุกครั้งที่ระบบปฏิบัติการดำเนินการหนึ่งในกิจกรรมที่เกี่ยวข้องกับกระบวนการเหล่านี้

หากเปิดใช้งานการตรวจสอบความล้มเหลวรายการตรวจสอบจะถูกสร้างขึ้นทุกครั้งที่ระบบปฏิบัติการล้มเหลวในการดำเนินการหนึ่งในกิจกรรมเหล่านี้

เริ่มต้น: ไม่มีการตรวจสอบ

สิ่งสำคัญ: เพื่อให้สามารถควบคุมนโยบายการตรวจสอบได้มากขึ้นให้ใช้การตั้งค่าในโหนดการกำหนดค่านโยบายการตรวจสอบขั้นสูง สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการกำหนดค่านโยบายการตรวจสอบขั้นสูงดู http://go.microsoft.com/fwlink/?LinkId=140969

วิธีเดียวที่จะดูคือคุณต้องเปิดใช้งานการตรวจสอบเพื่อติดตามการสร้างกระบวนการ

จากโปรแกรม "นโยบายความปลอดภัยท้องถิ่น" (พิมพ์secpol.mscจากหน้าจอการทำงานหากคุณพบปัญหา) ไปที่ "การตั้งค่าความปลอดภัย -> นโยบายตำรวจ -> นโยบายการตรวจสอบ" จากนั้นเปิดใช้งาน "การติดตามกระบวนการตรวจสอบ" สำหรับ "ความสำเร็จ"

เมื่อคุณทำเช่นนั้นไปที่ตัวแสดงเหตุการณ์และตรวจสอบบันทึกเหตุการณ์ "Secruity" ในนั้นคุณจะเห็นรายการ "ความสำเร็จในการตรวจสอบ" ทุกครั้งที่กระบวนการเริ่มต้นหรือสิ้นสุด

กระบวนการได้ออก

เรื่อง:
    ID ความปลอดภัย: ระบบ
    ชื่อบัญชี: SCOTT-PC $
    โดเมนบัญชี: WORKGROUP
    ID เข้าสู่ระบบ: 0x3E7

ข้อมูลกระบวนการ:
    ID กระบวนการ: 0x1338
    ชื่อกระบวนการ: C: \ Windows \ System32 \ ยินยอม.exe
    สถานะการออก: 0x0

คุณจะต้องแปลง Process ID ที่คุณต้องการจากทศนิยมให้เป็น hex (3336 กลายเป็น 0xD08) วิธีที่ง่ายที่สุดในการแปลงคือเครื่องคิดเลข windows ที่เปิดอยู่ไปที่โหมด "โปรแกรมเมอร์" ป้อนหมายเลขในโหมด "dec" จากนั้นคลิกที่โหมด "hex" หมายเลขที่แสดงจะถูกแปลงเป็นเลขฐานสิบหกสำหรับคุณ

หากนี่เป็นเพียงครั้งเดียวและคุณไม่ต้องการบันทึกกระบวนการของคุณเสมอฉันขอแนะนำให้ใช้ Microsoft Process Monitor ( https://technet.microsoft.com/en-us/Library/bb896645.aspx ) มันจะต้องวิ่งก่อนที่จะได้รับความนิยมกลับกลาย แต่แม้หลังจากกระบวนการผู้ปกครองจะตายก็จะได้รวบรวมข้อมูลทั้งหมดที่คุณกำลังมองหา