Process Monitor 是一款由微软 Sysinternals 公司开发的包含强大监视和过滤功能的高级 Windows 监视工具，可实时显示文件系统、注册表、进程/线程的活动。它结合了两个 Sysinternals 的旧版工具 Filemon 和 Regmon 的功能，并添加了一个包含丰富的和非破坏性的广泛增强过滤功能列表，全面的事件属性（例如会话 ID 和用户名称），可靠的进程信息，每个操作的完整线程、堆栈与集成符号支持，同时记录到一个文件中，以及更多。其独一无二的强大功能将使 Process Monitor 在您的系统故障排除和恶意软件检测中发挥重要的作用。

概述：
捕获操作的输入和输出参数的更多数据
非破坏性过滤器，允许您设置过滤器而不会丢失数据
捕获每个操作的线程堆栈，在许多情况下它可以找出一个操作的根源
可靠捕获进程的详细信息，包括映像路径、命令行、用户和会话 ID
任何事件属性的可配置和可移动列
可将过滤器设置为任何数据字段，包括未配置为列的字段
高级日志记录架构，扩展到数以百万计的捕获事件和千兆字节的日志数据
进程树工具显示在跟踪中引用的所有进程的关系
本机日志格式保存，在不同的 Process Monitor 实例中加载的所有数据
进程工具提示，方便查看进程映像信息
详细信息工具提示，允许方便地访问不适合的列数据格式
可取消搜索
所有操作的启动时间日志

支持平台：
客户端：Windows Vista 和更高。
服务器：Windows Server 2008 和更高。

v4.0 版本更新：2024年6月17日
– 此更新增加了用户界面改进，增强了搜索、过滤和事件计数性能，并为进程开始时间戳引入了新的事件列。
– 新列“进程启动”可用于按进程的开始时间过滤进程，例如，隐藏此进程监视器会话启动时正在运行的所有进程，或仅显示这些进程。在“进程监视器过滤器”对话框中，此列将把当前时间的时间戳作为下拉列表中的预填充值。从主事件列表中的任何时间戳列中复制和粘贴值也有效。
– 此版本中的用户界面改进包括更原生的深色主题外观、新的界面图标、可通过“工具”菜单访问摘要对话框的更一致的行为、更好的鼠标和键盘导航，以及自动填充到某些过滤器列的模板值。摘要对话框现在具有“编辑过滤器”选项，主事件列表支持每列“计数出现次数”操作。
– 我们修复了两个启动日志记录错误：一个在启用分析事件的 428 秒后错误地停止了日志，另一个使用 /ConvertBootLog 命令行选项未完全初始化模块符号信息。
– 将项目从主事件列表复制到剪贴板的速度更快，并且还会显示可中断的进度对话框，该对话框与整个 Procmon 中的其他耗时操作一起可见。
– 此外，还修复了一系列 UI 元素对齐方式，更新了事件属性对话框的在线搜索、对话框的几何图形、启用运行时检查，并进行了一系列安全改进。