简介：面向IT运维与桌面支持人员的Process Monitor实用说明文档，聚焦文件系统、注册表、进程与线程活动的实时监控，帮助读者排查软件冲突、权限异常与系统性能瓶颈，也可作为ipguard、ip-guard相关问题的辅助分析参考。压缩包共1个docx文件，约84KB，内容以图文说明和界面提示为主，篇幅精简，便于随用随查。已有696人学习。文档围绕监控前准备、过滤条件设置、事件采集与停止、数据保存及后续分析等环节展开，并配有关键界面截图提示，能帮助初学者快速建立规范的采集流程，也为有经验的工程师提供问题复现与日志留存的参考思路。对于需要定位疑难故障、整理排错证据或进行性能调优的系统管理员，这份材料可作为日常排查与团队交接的轻量参考资料，亦可辅助理解监控数据的组织方式与分析切入点。
1. 捕获一开就翻车：Process Monitor 与 ip-guard 排错先盯这三个信号
Process Monitor 使用说明里最容易被跳过的一步，是采集前先停、先清空；一跳过，ipguard（ip-guard）客户端的问题复现时就会满屏无关事件。很多人打开工具就点放大镜，让员工直接操作，最后保存下来的日志里全是系统后台读写，真正被拦截的 CreateFile、RegOpenKey 和 ACCESS DENIED 被冲得找不着。这个坑不分新手老手，远程支持时尤其常见，员工一句“我已经点了”并不代表顺序对。下面按捕获不到、保存打不开、复现失败、常见避坑四类故障拆开，每条给可抄的命令、过滤器和验证方法，适合正在用 Process Monitor 排查 ip-guard 客户端异常、又不想把日志变成黑匣子的开发者。
2. 打开就满屏事件：Process Monitor 捕获不到 ip-guard 动作的过滤器写法
Process Monitor 默认启动即捕获，事件速率高得离谱。ip-guard 客户端的一次文件探测，可能夹在几十条系统进程的读写里，保存成日志后再搜，经常只剩 Process Start 和一堆无关的 RegQueryValue。症状看起来像“工具没抓到”，根因通常在三层：捕获窗口没卡准、过滤器写得太宽或太窄、目标动作由子进程或服务进程代理。先把停、清、筛、开、停、存这个顺序固定下来，再谈分析。
2.1 先停再清空：为什么“边跑边抓”会把关键事件冲掉
Process Monitor 打开后默认就在抓，目标软件如果已经运行，启动阶段的关键事件已经过去，剩下的全是后台轮询。正确顺序是先关闭要采集信息的软件，再打开 Process Monitor，点工具栏上的放大镜停止捕获，图标带红叉才是停止状态，然后点橡皮擦清空已有事件。首次启动如果弹出驱动加载或筛选器重置提示，按提示重置并确定，处理完不要直接开抓，回到第一步重新关闭目标软件，再开始捕获。
这个顺序不是形式主义。清空只清界面里的事件，如果已经开了 Backing File，磁盘上的旧内容还在；目标软件如果没关，清空后它的后台线程仍会继续写事件，员工复现的那一次失败动作很容易被冲散。常见做法是清空后先让事件列表停住，确认没有新行滚动，再点放大镜开始捕获，然后让员工只做一次失败操作。
命令行启动可以把 Backing File 和过滤器一次固定，减少手抖：
$procmon = "C:\Tools\Procmon.exe" $trace = "C:\temp\ipguard_trace.pml" $config = "C:\temp\ipguard_filter.pmc" & $procmon /AcceptEula /Quiet /Minimized /BackingFile $trace /LoadConfig $config逻辑是先把事件直接写磁盘，避免长时间采集把内存吃满，再加载预先保存的过滤器配置。/AcceptEula只在第一次接受协议时用；/Quiet减少弹窗；/Minimized最小化启动；/BackingFile指定落盘文件；/LoadConfig加载.pmc过滤器配置。启动后仍要人工确认放大镜状态，命令行不会替你看清空有没有做。
2.2 过滤器三层收窄：进程名、路径、结果
过滤器不要一上来就写五六个 AND 条件。第一层先用进程名粗筛，比如Process Name contains ipguard或Process Name contains ip-guard；第二层用路径兜底，比如Path contains ip-guard，因为客户端可能由子进程或服务进程发起访问；第三层再看结果，比如Result is ACCESS DENIED、Result is NAME NOT FOUND，以及Operation is CreateFile、RegOpenKey、WriteFile、SetValue。三层的关系是先宽后窄，先确认有事件，再逐步加条件。
| 层级 | 字段 | 示例条件 | 用途 |
|---|---|---|---|
| 第一层 | Process Name | contains ipguard | 先确认目标进程有没有出现 |
| 第二层 | Path | contains ip-guard | 抓子进程和服务进程的代理访问 |
| 第三层 | Result | is ACCESS DENIED | 缩小到被拒绝的动作 |
| 补充层 | Operation | is CreateFile | 看文件打开失败还是注册表写入失败 |
如果进程名拿不准，先用 PowerShell 把相关进程列出来，不要凭记忆写过滤器：
Get-Process | Where-Object { $_.ProcessName -match 'ip|guard' } | Select-Object ProcessName, Id, Path-match是正则匹配，ip|guard表示命中任意一个词；Path用来确认真实安装路径，有些客户端进程名和安装目录并不完全同名。找到实际进程名后，再回到 Process Monitor 的 Filter 菜单里收窄。注意不要在这个阶段结束进程，采集现场被破坏，后面很难复现。
2.3 用命令行固定捕获配置，减少手抖
过滤器在界面里点一遍很轻松，远程指导时让对方点一遍就容易翻车。我一般会在一台干净机器上把过滤条件调好，保存成.pmc，之后用/LoadConfig加载。采集结束后先停止捕获，再保存日志；不要一边滚动一边保存，文件容易只写一半。停止可以用界面放大镜，也可以用命令行终止：
& "C:\Tools\Procmon.exe" /Terminate Start-Sleep -Seconds 2 Get-ChildItem "C:\temp\ipguard_trace*.pml" | Sort-Object LastWriteTime -Descending | Select-Object -First 1 FullName, Length, LastWriteTime/Terminate会让 Process Monitor 退出，执行前确认员工已经完成复现；Start-Sleep留两秒给文件落盘；Get-ChildItem按最后写入时间找最新日志，Length为 0 就说明没写成，别急着发给别人分析。这个检查比反复问“你保存了吗”有效得多。
2.4 验证过滤器是否真的命中
过滤器加载后不要直接让员工操作十分钟。先做一个已知动作：打开目标软件，触发一次被拦截的操作，然后看事件列表里有没有目标进程、有没有 ACCESS DENIED、事件总数是不是明显下降。如果事件数仍然成千上万，大概率是过滤器没加载；如果一条都没有，大概率是条件太窄或进程名写错。
保存成 CSV 后可以用一条命令看结果分布：
Import-Csv "C:\temp\ipguard_trace.csv" | Group-Object Result | Sort-Object Count -Descending | Select-Object -First 10 Name, CountImport-Csv读取导出的表格，Group-Object Result按结果列聚合，Sort-Object Count -Descending把出现最多的结果排前面。ACCESS DENIED 为 0，不一定是没有问题，也可能是过滤器把目标进程挡掉了；NAME NOT FOUND 很多，则要结合路径看是不是程序在探测不存在的文件。验证这一步做一次，比后面翻几千行日志省时间。
3. 保存后打不开：.PML、.CSV、.EVtx 后缀选错与文件过大的处理
最常见的报错是“文件格式不支持”“打开是空白”“日志几个 G 拖不动”。Process Monitor 保存对话框里能选原生日志、CSV，也能看到系统事件日志格式的影子。原生日志一般是.PML，CSV 给表格工具看，.EVtx是系统事件日志格式，用 Process Monitor 直接打开经常提示不支持。按说明保存成.EVtx后双击打不开，先别怀疑采集失败，换保存类型重存往往就恢复正常。
3.1 保存对话框里三个选项的差别
保存时先看“All events”还是“Filtered events”。All events 保留全部现场，文件大但可回溯；Filtered events 只留当前过滤器命中的事件，文件小，后面想换条件就没了。建议先存全量.PML，再另存一份 CSV 做筛选。.PML用 Process Monitor 自己打开，.CSV用表格工具或 PowerShell 读，.EVtx交给系统事件查看器，三者不要混用。
保存前必须停止捕获。放大镜带红叉才是停止，停止后再点保存；如果还在滚动，保存出来的文件可能缺最后一段。保存后先看文件大小和最后写入时间：
Get-Item "C:\temp\ipguard_trace.pml" | Select-Object FullName, Length, LastWriteTimeLength是字节数，太小说明没抓到有效事件；LastWriteTime应该是刚刚停止捕获的时间。文件存在但打开空白，常见原因是保存成了过滤后视图，而过滤器把目标进程全挡掉了，换 All events 重存一次再验证。
3.2 大文件截断与 Backing File 的用法
采集时间一长，内存模式很容易把工具拖死。Backing File 的作用是直接把事件写到磁盘，代价是磁盘空间要留够。采集前先看目标盘剩余空间，不要存到网络盘或同步盘，写入延迟和文件锁会让日志只写一半。我一般固定在本地临时目录采集，分析完再复制走。
$trace = "C:\temp\ipguard_trace.pml" $free = (Get-PSDrive C).Free if ($free -lt 5GB) { Write-Warning "C盘剩余空间不足5GB，先清理再采集" } & "C:\Tools\Procmon.exe" /AcceptEula /Quiet /Minimized /BackingFile $traceGet-PSDrive C取 C 盘剩余空间，5GB是保守阈值，事件多的时候可以留更多；Write-Warning只提示不中断，是否继续由现场决定；/BackingFile让事件直接落盘。注意 Backing File 模式结束后仍要在界面里另存为正式日志，排查时把采集文件和另存文件分开命名，避免覆盖。
3.3 用 PowerShell 把 CSV 压成可读清单
CSV 列名带空格，直接点属性容易写错。先按进程名和路径粗筛，再按结果收窄，最后只导出关键列。下面这段把 ipguard、ip-guard 相关路径和 ACCESS DENIED 筛出来：
$rows = Import-Csv "C:\temp\ipguard_trace.csv" $rows | Where-Object { $_.'Process Name' -like '*ipguard*' -or $_.'Process Name' -like '*ip-guard*' -or $_.Path -like '*ip-guard*' } | Where-Object { $_.Result -eq 'ACCESS DENIED' } | Select-Object 'Time of Day','Process Name','Operation','Path','Result' | Export-Csv "C:\temp\ipguard_denied.csv" -NoTypeInformation -Encoding UTF8Import-Csv读入后，'Process Name'必须加引号，因为列名里有空格；-like '*ip-guard*'是通配匹配，大小写不敏感；Export-Csv的-NoTypeInformation去掉类型头，-Encoding UTF8避免中文路径乱码。列名如果对不上，先执行$rows[0].PSObject.Properties.Name看实际表头，不要硬套。
3.4 打开空白/提示不支持时怎么回退
先确认保存类型，再看文件大小，最后换工具打开。.PML只能用 Process Monitor 系工具打开，用文本编辑器打开会看到乱码；.CSV用表格工具或 PowerShell；.EVtx用系统事件查看器，但里面的字段和 Process Monitor 不是一套。文件为 0 字节，通常是保存路径不可写、同步盘没落盘或安全软件隔离，换本地目录重存。
Get-ChildItem "C:\temp\ipguard_trace.*" | Select-Object Name, Length, LastWriteTime Format-Hex -Path "C:\temp\ipguard_trace.pml" -Count 8Get-ChildItem把同名前缀的文件全列出来，避免把旧文件当新文件；Format-Hex只看前 8 个字节，确认文件不是空壳。-Count 8限制输出，不要对几个 G 的文件直接跑十六进制。确认文件有效后，再用 Process Monitor 的 File 菜单打开，不要双击让系统猜关联程序。
4. 复现问题就失败：ip-guard 客户端拦截、权限与“采集前关闭软件”的顺序坑
远程支持里最怕听到“你一开工具，问题就没了”。有时是顺序错了，有时是权限不够，有时是 ip-guard 客户端策略把采集工具拦了。表现包括 Process Monitor 启动后没有事件、目标软件一闪退、客户端弹告警、日志里只有系统进程。先把顺序和权限这两件事排掉，再谈策略拦截，否则很容易把工具问题误判成业务问题。
4.1 先关目标软件再开 Process Monitor 的顺序
按使用说明里的顺序走：关闭要采集信息的软件；打开 Process Monitor，停止采集，清空信息；如果出现驱动加载或筛选器重置提示，按提示重置并确定；重置后回到第一步，重新关闭目标软件；再开始捕获；员工开始复现问题；操作完成后再次点击放大镜停止采集，然后保存。这里最容易错的是“重置确定后直接开抓”，目标软件还开着，清空后又被后台事件填满。
为什么强调先关目标软件？Process Monitor 加载驱动会改变文件系统和注册表访问的时序，目标软件如果已经在运行，启动阶段的加载、配置读取、服务连接都错过了；先关再开，才能把冷启动和失败动作放进同一个时间窗口。员工复现时只做一次失败操作，不要顺带打开别的软件，时间窗口越干净，后面越好定位。
4.2 以管理员身份运行与 UAC 虚拟化
普通权限启动 Process Monitor，系统进程和受保护路径经常看不到，日志里会出现大量“没有权限”的空洞。用管理员身份启动，才能看到服务进程和高权限目录的访问。直接双击和右键管理员启动，事件覆盖范围不一样，远程指导时要说清楚是哪一种。
Start-Process "C:\Tools\Procmon.exe" -Verb RunAs Get-Process Procmon -ErrorAction SilentlyContinue | Select-Object ProcessName, Id, PathStart-Process -Verb RunAs触发提权，现场会弹 UAC 确认；Get-Process确认进程还在，Path确认启动的是预期目录里的版本，不是旧副本。如果进程秒退，先看客户端告警和系统日志，不要反复双击。提权只用于采集，采集完正常退出，不要长期挂着管理员窗口。
UAC 虚拟化还会让路径看起来“不对”：程序以为写进了安装目录，实际被重定向到用户虚拟存储。日志里出现 VirtualStore 路径时，不要直接判定程序写错目录，先看它请求的原始路径和结果。对比正常机器同一操作的事件，能快速区分是虚拟化重定向还是权限拒绝。
4.3 ip-guard 策略拦截 Procmon 驱动/进程的识别方法
现象很直接：Process Monitor 启动后事件列表不滚动，或者刚启动就被结束，客户端弹出“禁止运行”的提示。先确认进程是否还在，再看系统日志和客户端自身日志。不要一上来就换工具，先判断是驱动加载失败还是进程被策略结束，这两类处理方式不同。
Get-Process Procmon -ErrorAction SilentlyContinue | Select-Object Id, StartTime, Path Get-WinEvent -LogName System -MaxEvents 50 | Where-Object { $_.Message -match 'Procmon|Process Monitor' } | Select-Object TimeCreated, Id, LevelDisplayName, MessageGet-Process看进程是否存活，StartTime能判断是不是刚启动就退出；Get-WinEvent查最近 50 条系统日志，-match匹配工具名。没有结果不代表没拦截，客户端自己的日志更直接。确属策略拦截时，走审批流程临时放行采集工具，不要尝试对抗管控；采集完立即恢复策略，别把临时口子留成习惯。
4.4 用最小复现步骤替代“全量录屏式采集”
采集不是越久越好。让员工只重复一次失败动作，前后各留几秒，记录开始和结束时间，日志里直接按时间窗口跳转。录十分钟看起来保险，实际会把关键事件埋掉，文件还大。复现步骤要写成员工能照做的短句：打开哪个窗口、点哪个按钮、看到什么报错、立即停手。
$start = Get-Date "复现开始：$start" | Out-File C:\temp\repro_time.txt -Encoding UTF8 # 让员工执行一次失败操作，完成后回填结束时间 "复现结束：$(Get-Date)" | Out-File C:\temp\repro_time.txt -Append -Encoding UTF8Get-Date取当前时间，Out-File第一次写入，-Append追加结束时间，-Encoding UTF8避免中文乱码。时间戳要和采集机器时钟一致，跨机器对比时先校时。拿到时间窗口后，在 Process Monitor 里按时间排序，先看窗口内的进程和结果，不要从头滚。
5. 常见问题与避坑：五条踩坑记录从现象到解决
这些坑在远程支持里反复出现，单看每一步都简单，连起来就翻车。每条按现象、原因、解决写，现场卡住时直接对照排查，不要凭感觉重来一遍。
5.1 坑一：清空后忘了重新开捕获，员工操作全白做
现象：员工说已经复现，保存的日志里只有清空前的系统事件，时间窗口对不上，目标进程一条都没有。原因：点橡皮擦清空后，放大镜仍处于停止状态；或者清空后去处理弹窗，回来忘了再点开始。解决：清空后看放大镜图标，红叉消失才是捕获中；让员工先别动，确认事件列表在滚动再操作。采集结束后先停止再保存，保存后看文件最后写入时间，时间不对就重来。
5.2 坑二：只筛 Process Name，漏掉子进程和 svchost 代理访问
现象：过滤器写了Process Name is ipguard，事件很少，但问题仍在，路径里明明有 ip-guard 目录。原因：客户端可能由子进程或服务进程代理访问，文件操作不一定由主进程发起；只用进程名筛会漏掉代理链。解决：先按Path contains ip-guard筛，再用进程树找父进程，按 PID 追调用链。下面这条命令从 CSV 反查哪些进程碰过相关路径：
Import-Csv "C:\temp\ipguard_trace.csv" | Where-Object { $_.Path -like '*ip-guard*' } | Group-Object 'Process Name' | Sort-Object Count -Descending | Select-Object -First 15 Name, CountWhere-Object先按路径过滤，Group-Object 'Process Name'按进程名聚合，Sort-Object Count -Descending把访问次数多的排前面。Name是进程名，Count是事件数。看到陌生进程不要急着结束，先看它的父进程和签名路径。
5.3 坑三：把 ACCESS DENIED 当根因，实际是正常探测
现象：日志里一出现 ACCESS DENIED 就认定权限问题，改 ACL、加用户，问题还在。原因：很多程序会先探测路径是否存在、能否写入，拒绝访问是预期分支，后面会回退到用户目录或临时目录。解决：看同一进程后续有没有成功事件，看 Operation 和 Detail，对比正常机器同一动作。只有“拒绝后没有回退、业务确实失败”才往权限方向查。单独一条拒绝记录不是根因，是一句话。
5.4 坑四：保存到网络盘/同步盘，写入一半就断
现象：保存过程卡住，文件 0 字节或打开提示损坏；换台机器又能打开旧日志。原因：Backing File 或另存操作直接写网络盘、同步盘，文件锁和延迟导致截断；磁盘满也会出现同样表现。解决：先写本地C:\temp，再复制到共享目录；保存后核对大小和哈希。
$src = "C:\temp\ipguard_trace.pml" $dst = "D:\share\ipguard_trace.pml" Copy-Item $src $dst -Force Get-FileHash $src, $dst -Algorithm SHA256 | Select-Object Path, HashCopy-Item -Force覆盖目标文件，Get-FileHash对源和目标分别算 SHA256，两个哈希一致才说明复制完整。网络盘只作为交付位置，不作为采集位置；同步盘更容易在写入中途锁文件，采集阶段直接避开。
5.5 坑五：用旧过滤器加载新场景，路径规则过期
现象：加载上周的.pmc后一条事件
本文还有配套的精品资源，点击获取
