أعماق إدخال/إخراج Windows (الجزء 6، الأخير) ── برامج تشغيل المرشّح والمرشّحات المصغّرة: لماذا يستطيع Procmon ومسح الفيروسات التقاطع مع الإدخال/الإخراج

هذه الحلقة الأخيرة من سلسلة «أعماق إدخال/إخراج Windows».

منذ أن رسم الجزء 1 صندوقاً بعنوان «مرشّحات نظام الملفّات (مكافحة الفيروسات والتشفير وProcmon ونحوها)» على مخطّط مكدّس الأجهزة، ظلّ من يتوسّطون يظهرون عبر هذه السلسلة: سبب قدرة Procmon على تسجيل كلّ إدخال/إخراج (الجزء 1)؛ «الوصول إلى الملفّات بطيء في تلك البيئة وحدها» (الجزء 2)؛ نقطة إعادة التحليل التي تجعل OneDrive يبدأ التنزيل لحظة فتح الملفّ (الجزء 5). تواجه هذه الحلقة أخيراً آليّة التوسّط نفسها وجهاً لوجه — برامج تشغيل مرشّح نظام الملفّات والمرشّحات المصغّرة — وتربط كلّ خيط تركته السلسلة معلّقاً.

1. الخلاصة أوّلاً

• «التقاطع مع الإدخال/الإخراج» نقطة توسيع يقرّها نظام التشغيل رسميّاً. يستطيع مرشّح نظام الملفّات رؤية طلب إلى نظام الملفّات وإعادة كتابته ورفضه أو معالجته بدلاً منه (الفصل 2).¹
• المعيار الحاليّ هو المرشّح المصغّر. لحلّ مشاكل الأسلوب القديم الذي تقاطع مع مكدّس الأجهزة مباشرة (ترتيب غير محدَّد، وتعذّر الإلغاء)، انتقل الجيل إلى أسلوب يسجّل استدعاءات لدى مدير المرشّحات (FltMgr) المرفق بـ Windows (الفصل 2).²³
• الحركة استدعاءات pre/post. قبل كلّ عمليّة وبعدها تُستدعى بترتيب التسجيل = ترتيب الارتفاع. تمرير، وإكمال، ورفض، وإعادة كتابة — «خيارات برنامج التشغيل» التي رأيناها في الجزء 1 تُستخدم كما هي (الفصل 3).²
• الارتفاع (altitude) يحسم الترتيب. تُخصَّص نطاقات أرقام لمجموعات حسب الغرض (Activity Monitor 360000–389999، Anti-Virus 320000–329999، وغيرها)، ويُعطى كلّ مثيل يُرفَق بمجلّد رقماً فريداً (الفصل 4).⁴⁵
• سكّان حاسوبكم يُرَون بـ fltmc. Procmon (أثناء التشغيل فقط)، ومكافحة الفيروسات، ومرشّح سحابة OneDrive — الجميع يصطفّ هنا (الفصل 5).
• إعداد استثناء مكافحة الفيروسات يعني «تخطّي مسح ذلك المنتج نفسه» ولا يؤثّر في مرشّحات مصغّرة أخرى. الاستثناء مقايضة تُضعف الحماية، ولمجلّدات التطوير خيار أكثر أماناً: Dev Drive (مسح لاتزامنيّ) (الفصل 6).⁶⁷
• التحقيق في «بطء تلك البيئة وحدها» يبدأ من عمود Duration في Procmon ومقارنة تكوين fltmc (الفصل 7).

خريطة المعرفة لهذه المقالة

المعيار الحاليّ لعامل تصفية نظام الملفّات هو عامل التصفية المصغَّر: بخلاف عامل التصفية القديم الذي يضع كائن جهاز مباشرة على مكدّس الأجهزة، يسجّل استدعاءات pre/post راجعة لدى مدير التصفية (FltMgr) المرفق مع Windows. ترتيب الاستدعاء يُحسَم حسماً قاطعاً بالارتفاع الذي تخصّصه Microsoft وتديره، ويمكن مراقبة التكوين الفعليّ بأمر fltmc. مكافحة الفيروسات وProcmon ومزامنة OneDrive السحابيّة جميعاً سكّان الآليّة نفسها؛ إعداد الاستبعاد يُسقِط مسح ذلك المنتج وحده ويصحبه مقايضة إضعاف الحماية، ولوحدات التطوير البديل الأكثر أماناً هو Dev Drive.

flowchart LR
    accTitle: خريطة معرفة برامج تشغيل التصفية وعوامل التصفية المصغَّرة
    accDescr: مخطّط يبيّن علاقات برنامج تشغيل عامل تصفية نظام الملفّات، وتعاقب الأجيال من عامل التصفية القديم إلى عامل التصفية المصغَّر، ومدير التصفية (FltMgr)، واستدعاءات pre/post الراجعة، والارتفاع ومجموعة ترتيب التحميل، والمراقبة بـ fltmc، وعامل التصفية المصغَّر لمكافحة الفيروسات وإعداد الاستبعاد وDev Drive، وآليّة تسجيل Procmon لكلّ الإدخال/الإخراج بوصفه عامل تصفية مصغَّراً
    minifilter["عامل تصفية مصغَّر (minifilter)"]
    filter_manager["مدير التصفية (FltMgr)"]
    legacy_filter_driver["عامل تصفية قديم"]
    filesystem_filter_driver["برنامج تشغيل عامل تصفية نظام الملفّات"]
    device_stack["مكدّس الأجهزة"]
    load_order_instability["عدم استقرار ترتيب التحميل"]
    minifilter_callback["استدعاء pre/post راجع"]
    altitude["الارتفاع (altitude)"]
    load_order_group["مجموعة ترتيب التحميل"]
    fltmc["fltmc"]
    altitude_request["طلب الارتفاع"]
    procmon["Process Monitor (procmon.exe)"]
    antivirus_minifilter["عامل تصفية مصغَّر لمكافحة الفيروسات"]
    cloud_filter["عامل تصفية الملفّات السحابيّة (cldflt)"]
    onedrive_files_on_demand["ملفات OneDrive عند الطلب"]
    fast_io["Fast I/O"]
    scan_performance_cost["كلفة الأداء بسبب المسح"]
    exclusion_setting["إعداد الاستبعاد (استبعاد مجلّد)"]
    reduced_protection["انخفاض مستوى الحماية"]
    dev_drive["Dev Drive"]
    frame["إطار FltMgr"]
    driver_object["كائن برنامج التشغيل"]
    legacy_filter_driver -->|"ينفّذ"| filesystem_filter_driver
    minifilter -->|"ينفّذ"| filesystem_filter_driver
    minifilter -->|"يخلف"| legacy_filter_driver
    legacy_filter_driver -->|"يشترط"| device_stack
    legacy_filter_driver -->|"قد يسبّب"| load_order_instability
    minifilter -.->|"يمنع"| load_order_instability
    minifilter -->|"يشترط"| filter_manager
    filter_manager -->|"يستخدم"| minifilter_callback
    minifilter -->|"يستخدم"| minifilter_callback
    minifilter -->|"يُكوَّن بـ"| altitude
    altitude -->|"يُكوَّن بـ"| load_order_group
    altitude -->|"يُتحقّق بـ"| fltmc
    altitude -.->|"يشترط"| altitude_request
    altitude_request -->|"ينبغي أن يسبق"| minifilter
    minifilter -->|"يُتحقّق بـ"| fltmc
    legacy_filter_driver -->|"يُتحقّق بـ"| fltmc
    procmon -->|"يستخدم"| minifilter
    procmon -->|"يستخدم"| minifilter_callback
    antivirus_minifilter -->|"يستخدم"| minifilter_callback
    antivirus_minifilter -->|"يُكوَّن بـ"| altitude
    cloud_filter -->|"يؤتمت"| onedrive_files_on_demand
    minifilter -.->|"يستخدم"| fast_io
    antivirus_minifilter -.->|"قد يسبّب"| scan_performance_cost
    exclusion_setting -->|"يخفّف"| scan_performance_cost
    exclusion_setting -->|"قد يسبّب"| reduced_protection
    antivirus_minifilter -->|"يُكوَّن بـ"| exclusion_setting
    dev_drive -->|"يخفّف"| scan_performance_cost
    dev_drive -->|"يخفّف"| reduced_protection
    antivirus_minifilter -->|"موصى به لـ"| dev_drive
    filter_manager -->|"يستخدم"| frame
    frame -->|"يُتحقّق بـ"| fltmc
    legacy_filter_driver -->|"يستخدم"| driver_object
    minifilter -->|"يستخدم"| driver_object
    filter_manager -->|"يشترط"| device_stack
    filter_manager -->|"يستخدم"| driver_object

في المخطّط، يشير الخطّ المتّصل إلى علاقة قائمة دائماً، ويشير الخطّ المتقطّع إلى علاقة مشروطة (شروط قيامها مذكورة في شرح كلّ علاقة في الصفحة التفصيليّة). القائمة الكاملة للعلاقات (المجموع 35، مع الأدلّة ودرجة اليقين) وتعريفات المفاهيم الرئيسة مجمّعة في صفحة تفاصيل خريطة المعرفة (باليابانية). البيانات: JSON-LD / Turtle

2. تاريخ من يتوسّطون ── من المرشّح القديم إلى FltMgr

برنامج تشغيل مرشّح نظام الملفّات برنامج تشغيل يستطيع اعتراض الطلبات المتّجهة إلى نظام الملفّات (أو المجلّد تحته). يستطيع تسجيل الطلب ومراقبته وتغيير محتواه، وحتّى رفضه أو معالجته بدلاً منه — أساس برمجيّات مكافحة الفيروسات والتشفير والنسخ الاحتياطيّ والتخزين المتدرّج.¹

كان أسلوب التنفيذ القديم (المرشّح القديم) يرصف كائن جهازه مباشرة على مكدّس الأجهزة الذي رأيناه في الجزء 1. الآليّة صريحة، لكنّها عمليّاً كانت مليئة بالمشاكل — ترتيب الرصف يعتمد على ترتيب التحميل ويصعب ضمانه، ومتى رُصف لا يخرج بأمان (لا يُلغى تحميله)، ويصير مرتعاً لأخطاء توافق بين المرشّحات.

لذلك أدخل Windows مدير المرشّحات (FltMgr). يقف FltMgr نفسه على المكدّس كمرشّح مرفق بنظام التشغيل، وتُسجَّل وظائف المرشّح الفرديّة كمرشّحات مصغّرة بتسجيل استدعاءات لدى FltMgr.²

flowchart TB
    subgraph OLD["الأسلوب القديم"]
        L1["مرشّح قديم A"]
        L2["مرشّح قديم B"]
        LFS1["نظام الملفّات"]
        L1 --> L2
        L2 --> LFS1
        NOTE1["الترتيب متروك لترتيب التحميل<br/>إلغاء التحميل الآمن غير ممكن"]
    end
    subgraph NEW["أسلوب المرشّح المصغّر (المعيار الحاليّ)"]
        FM["مدير المرشّحات (FltMgr)<br/>مرفق بنظام التشغيل. من يقف على المكدّس هذا فقط"]
        M1["مرشّح مصغّر A (ارتفاع عالٍ)"]
        M2["مرشّح مصغّر B (ارتفاع منخفض)"]
        LFS2["نظام الملفّات"]
        FM -. "تسجيل استدعاء" .- M1
        FM -. "تسجيل استدعاء" .- M2
        FM --> LFS2
        NOTE2["الترتيب محسوم بالارتفاع<br/>التحميل ممكن في أيّ وقت<br/>(المرشّحات الداعمة يمكن إلغاء تحميلها أيضاً)"]
    end

الشكل 1: تبديل الجيل. لا «رصف» على المكدّس بل «تسجيل» لدى FltMgr

مزايا أسلوب المرشّح المصغّر مسردة رسميّاً — يمكن التحميل في أيّ وقت، والتحكّم في الترتيب، وإلغاء التحميل أثناء التشغيل إن نفّذ المرشّح استدعاء إلغاء التحميل (من لم ينفّذه أو يرفض لا يُنزَع).³ للتعايش مع المرشّحات القديمة يستطيع FltMgr الوقوف في مواضع متعدّدة على المكدّس كـ«إطارات» متعدّدة، ويُضمَن أن يعود المرشّح المصغّر بعد إلغاء التحميل وإعادة التحميل إلى الموضع نفسه (الارتفاع نفسه).² تكاد برمجيّات مكافحة الفيروسات والمراقبة والمزامنة الحديثة كلّها تكون هذا المرشّح المصغّر.

3. حركة المرشّح المصغّر ── استدعاءات pre/post

يعلن المرشّح المصغّر لـ FltMgr «بأيّ العمليّات يهتمّ». مثلاً يهتمّ بـ IRP_MJ_CREATE (فتح) وIRP_MJ_WRITE (كتابة) فقط. عندها، في كلّ مرّة تسير تلك العمليّة، يُستدعى قبل العمليّة (استدعاء pre) وبعد العمليّة (استدعاء post).

sequenceDiagram
    participant IOM as مدير الإدخال/الإخراج
    participant FM as FltMgr
    participant A as مرشّح مصغّر A<br/>(ارتفاع عالٍ)
    participant B as مرشّح مصغّر B<br/>(ارتفاع منخفض)
    participant FS as NTFS

    IOM->>FM: طلب (IRP_MJ_CREATE ونحوه. عالم الجزء 1)
    FM->>A: استدعاء pre
    FM->>B: استدعاء pre
    FM->>FS: إلى نظام الملفّات
    FS-->>FM: نتيجة المعالجة
    FM-->>B: استدعاء post
    FM-->>A: استدعاء post
    FM-->>IOM: إكمال (إلى تدفّق الإكمال في الجزء 1)

الشكل 2: استدعاءات pre/post. الذهاب بترتيب الارتفاع من الأعلى، والعودة بالعكس

ماذا يستطيع كلّ استدعاء؟ الهيكل نفسه لـ«خيارات برنامج التشغيل الثلاثة» في القسم 4.3 من الجزء 1 يُقدَّم بواجهة أكثر أماناً.

flowchart TB
    PRE["استُدعي استدعاء pre"]
    Q{"ماذا نفعل بهذه العمليّة"}
    PASS["التمرير كما هو<br/>(إن لم يلزم post يُعلَن ذلك أيضاً)"]
    DENY["الرفض<br/>إعادة رفض وصول ونحوه فوراً<br/>مثال: اكتشاف فيروس، حظر الكتابة"]
    DONE["الإكمال بأنفسكم<br/>مثال: مرشّح سحابة يجلب<br/>الكيان ويقدّمه"]
    MOD["تعديل المعاملات أو المحتوى ثمّ التمرير<br/>مثال: مرشّح تشفير"]
    PRE --> Q
    Q --> PASS
    Q --> DENY
    Q --> DONE
    Q --> MOD

الشكل 3: خيارات استدعاء pre. «الرؤية والإيقاف والنيابة وإعادة الكتابة» كلّها ممكنة رسميّاً

وهنا يُستردّ واجب الجزء 4 — يستطيع المرشّح المصغّر الحضور أيضاً عند الإدخال/الإخراج السريع (الطريق المختصر الذي لا يصنع IRP). لأنّ FltMgr يمرّر آليّة الاستدعاء عبر مسار الإدخال/الإخراج السريع أيضاً، فلا يحدث كما في عصر القديم «إن أُخذ الطريق المختصر لا يُرى». اصطفاف صفوف FASTIO_ أيضاً في سجلّ Procmon بفضل هذا الموقف.

4. الارتفاع ── «العلوّ» يحسم الترتيب

حين يهتمّ عدّة مرشّحات بالعمليّة نفسها، من يرى أوّلاً مسألة جسيمة. إن لم ترَ مكافحة الفيروسات قبل التشفير اضطُرّت إلى مسح نصّ مشفَّر، وأداة المراقبة إن لم تكن فوق الجميع لا تستطيع مراقبة الكلّ.

ما يحسم هذا الترتيب هو الارتفاع (altitude: العلوّ). لكلّ نوع مرشّح مجموعة ترتيب تحميل ونطاق أرقام معرَّفان. بدقّة، وحدة الارتفاع ليست برنامج التشغيل كلّه بل «مثيل» المرشّح المصغّر المرفَق بالمجلّد. الرقم فريد، وكلّما كبر الرقم كان الموضع أعلى على المكدّس (أقرب إلى التطبيق).⁴ يمكن لبرنامج تشغيل واحد أن يحمل تعريفات مثيلات متعدّدة ويظهر عند ارتفاعات مختلفة، ولهذا قائمة fltmc instances على مستوى المثيل.

flowchart TB
    APP["أقرب إلى التطبيق (الرقم أكبر)"]
    G1["FSFilter Activity Monitor: 360000–389999<br/>مراقبة الإدخال/الإخراج وتسجيله (Procmon هنا)"]
    G2["FSFilter Undelete: 340000–349999<br/>استعادة الملفّات المحذوفة"]
    G3["FSFilter Anti-Virus: 320000–329999<br/>اكتشاف الفيروسات وإزالتها"]
    G4["FSFilter Replication: 300000–309999<br/>النسخ إلى البعيد"]
    G5["FSFilter Continuous Backup: 280000–289999<br/>نسخ احتياطيّ مستمرّ"]
    G6["أسفل أكثر: Content Screener /<br/>Quota Management / System Recovery /<br/>نطاقات التشفير والضغط وغيرها تتواصل"]
    FS["أقرب إلى نظام الملفّات (الرقم أصغر)"]
    APP --> G1 --> G2 --> G3 --> G4 --> G5 --> G6 --> FS

الشكل 4: نطاقات الارتفاع (مقتطف). «العلوّ الذي ينبغي الوقوف عنده» محسوم حسب الغرض

المهمّ أنّ هذا الرقم يُخصَّص ويُدار من Microsoft.⁵ لا يعلنه البائع من تلقاء نفسه بل يطلبه ويتلقّاه — لذلك يُحفَظ على أيّ حاسوب نظام «المراقبة فوق مكافحة الفيروسات، ومكافحة الفيروسات فوق التشفير». هذا كان الجواب على «يانصيب ترتيب التحميل» في عصر القديم.

جهة الطلب إن صنعتم مرشّحاً مصغّراً لشركتكم. للمطوّرين، نكتب الخطوة التالية فقط. يُطلَب الارتفاع وفق إجراء Request a Filter Altitude Identifier، برسالة إنكليزيّة إلى fsfcomm@microsoft.com بعنوان «Filter altitude request». يلزم ملء اسم الشركة وجهة الاتّصال (اسم مستعار للشركة طويل الأمد لا شخصيّ) واسم المنتج وعنوان URL للمنتج ووصف المرشّح واسم ملفّ برنامج التشغيل ونوع المرشّح ونوع البدء ومجموعة ترتيب التحميل المرغوبة والارتفاع المرغوب، كلّها. توقّعوا 30 يوم عمل للمعالجة، ولا منفذ للمعاملة العاجلة، وقد يختلف الرقم المخصَّص عن المرغوب، وكلّ ذلك منصوص.⁸ كذلك، إن كانت للشركة أصلاً ارتفاع صحيح في مجموعة ترتيب التحميل نفسها، يجوز لها أن تقرّر بنفسها قيمة بفاصلة عشرية ملحقة بذلك الرقم (مثال: 325000.3)، ويكفي في تلك الحالة الإبلاغ بالبريد بعد الواقعة.⁸

5. تقديم السكّان ── رؤية حاسوبكم بـ fltmc

يكفي التنظير. لنرَ الشيء الحقيقيّ. من موجه أوامر بامتيازات مدير:

:: List of registered minifilters, with altitudes
fltmc

:: Which filters are attached to which volumes
fltmc instances

:: View it from the volume side
fltmc volumes

fltmc بلا وسيطات يخرج القائمة نفسها لـ fltmc filters. المخرجات أربعة أعمدة، ومثال بالصيغة نفسها وارد في وثائق Microsoft.⁹

C:\Windows\system32>fltmc

Filter Name                     Num Instances    Altitude    Frame
------------------------------  -------------  ------------  -----
bindflt                                 1        409800         0
cldflt                                  1        409500         0
WdFilter                                4        328010         0
luafv                                   1        135000         0
FileInfo                                4         45000         0

ما سبق مقتطف للشرح. الوجوه وعدد المثيلات يختلفان حسب البيئة، لكنّ قيم الارتفاع قيم ثابتة خصّصها Microsoft، لذا يمكن مطابقتها مع القائمة العلنيّة المذكورة في الفصل 4.

معاني الأعمدة كالتالي.

من هذه الأسطر الخمسة وحدها يُقرأ أنّ bindflt وcldflt في نطاق FSFilter Top الأعلى (400000–409999)، وWdFilter في نطاق Anti-Virus (320000–329999)، وFileInfo في نطاق FSFilter Bottom الأدنى (40000–49999). هيكل «العلوّ الذي ينبغي الوقوف عنده حسب الغرض» الذي رأيناه في الفصل 4 يُؤكَّد كما هو بالأرقام. وإن شغّلتم Procmon ثمّ نفّذتم fltmc مرّة أخرى، يزيد سطر يبدأ بـ PROCMON في نطاق Activity Monitor (360000–389999) واحداً.

تختلف الوجوه حسب البيئة، لكن السكّان النموذجيّين وجوه مألوفة في هذه السلسلة.

• WdFilter ── المرشّح المصغّر لـ Microsoft Defender. في نطاق Anti-Virus. على كثير من الحواسيب، نقطة تفتيش يمرّ بها كلّ إدخال/إخراج ملفّات حتماً.
• cldflt ── مرشّح ملفّات السحابة. وحدة تنفيذ ملفّات OneDrive عند الطلب، يجهّز الكيان حين تُفتح نقطة إعادة التحليل (عنصر نائب) التي رأيناها في الجزء 5.¹⁰
• PROCMON24 (ونحوه) ── مرشّح مصغّر مؤقّت في نطاق Activity Monitor يظهر فقط أثناء تشغيل Process Monitor. هذا كشف سرّ قدرة Procmon على رؤية كلّ إدخال/إخراج.¹¹ نفّذوا fltmc قبل التشغيل وبعده وقارنوا.
• وغيرها، برمجيّات النسخ الاحتياطيّ، ومنتجات التشفير (مكافحة تسرّب المعلومات)، وEDR، والتخزين الافتراضيّ — كلّما كان حاسوب أعمال كثر السكّان.

إن نظرنا إلى أداة Procmon التي استخدمناها منذ الجزء 1 من خارج صندوق الأدوات في الحلقة الأخيرة، تصير دورة أنيقة: «المراقب أيضاً كان ساكناً في الآليّة نفسها التي يراقبها».

6. أين تستهلك مكافحة الفيروسات الوقت

أكبر أثر عمليّ للمرشّحات كلفة مسح مكافحة الفيروسات. نرسم أين يحدث الوقت (التفاصيل تختلف حسب المنتج. التالي شكل نموذجيّ).

sequenceDiagram
    participant App as التطبيق
    participant AV as مرشّح مصغّر AV
    participant FS as NTFS

    App->>AV: فتح ملفّ
    Note over AV: pre-create: حكم مسبق على المسار والسياسة
    AV->>FS: التمرير (تنفيذ الفتح)
    FS-->>AV: نجاح الفتح (post-create)
    Note over AV: إن كان الملفّ غير ممسوح<br/>يُمسَح المحتوى هنا<br/>وإن وُجدت مشكلة يُبطَل الفتح<br/>── السبب الرئيس لبطء الفتح
    AV-->>App: إن لم تكن مشكلة يُعاد المقبض
    App->>AV: كتابة وإغلاق
    Note over AV: الملفّات التي تغيّرت<br/>تصير هدفاً لإعادة المسح عند الإغلاق ونحوه
    Note over App,FS: مع عدد هائل من الملفّات الصغيرة (نواتج وسيطة للبناء ونحوها)<br/>يتراكم هذا الذهاب والإياب بعدد الملفّات

الشكل 5: مواضع حدوث كلفة المسح. لكلّ ملفّ ضئيلة، لكن مع عشرات الآلاف تصير مهيمنة

بهذا يُفهم موضوعان عمليّان بدقّة.

المعنى التقنيّ لإعداد الاستثناء. في إدخال/إخراج مسار يطابق قائمة الاستثناء، يُتخطّى مسح المرشّح. المرشّح لا يختفي من المكدّس؛ الواقع أنّ قرار «لا تفحص» يُتَّخذ أبكر. وهناك قيد مهمّ آخر — الاستثناء يعمل فقط لمرشّح المنتج الحامل لذلك الإعداد. ما يغيّره إعداد استثناء Microsoft Defender هو مسح WdFilter، ولا أثر له في حركة مرشّحات مصغّرة مجاورة (مكافحة فيروسات شركة أخرى، وEDR، ونسخ احتياطيّ، وتشفير، وغيرها). حين «أضفنا استثناء وما زال بطيئاً» اشتبهوا في أنّ ساكناً آخر يستهلك الوقت (مقارنة fltmc في الفصل 7). الأثر كبير، غير أنّ الاستثناء يُضعف حماية ذلك الموضع حتماً. تحذّر وثائق Microsoft أيضاً مراراً أنّ الاستثناء يقلّل الدفاع فينبغي إبقاؤه حدّاً أدنى بعد تقييم المخاطر.⁶ التعامل العمليّ مع الكشف الخاطئ وأثر الأداء عولج في «عندما يُعامَل تطبيق Windows الذي طوّرته شركتك بوصفه فيروساً».

جواب جديد اسمه Dev Drive. مجلّد مخصَّص مصمَّم لأحمال عمل التطوير (عدد هائل من الملفّات الصغيرة)، تعمل فيه Microsoft Defender في وضع الأداء (مسح لاتزامنيّ). يُوضع بوصفه بديلاً أكثر أماناً لاستثناء المجلّد، وافتراضيّاً لا تُرفَق مرشّحات إضافيّة، بينما يُنصّ أيضاً تحذير قويّ من تشغيل بنزع كلّ المرشّحات.⁷ هذا الحلّ الذي توصي به Microsoft حالياً لـ«نريد تسريع البناء لكن الاستثناء مخيف».

7. إجراء التحقيق في «بطء تلك البيئة وحدها»

نجمع الأدوات التي راكمناها في السلسلة أخيراً في إجراء واحد.

flowchart TB
    S["العَرَض: التطبيق نفسه لكن بيئة معيّنة فقط<br/>الوصول إلى الملفّات بطيء"]
    P1["انظروا عمود Duration في Procmon<br/>في أيّ عمليّة (IRP_MJ_CREATE؟ WRITE؟)<br/>يختفي الوقت"]
    Q1{"عمليّة معيّنة بطيئة على نحو موحّد؟"}
    F1["قارنوا fltmc instances مع بيئة سريعة<br/>انظروا فرق تكوين المرشّحات"]
    Q2{"مرشّح الفرق هو السبب؟"}
    A1["إعداد استثناء (مع تقييم مخاطر) أو<br/>النظر في Dev Drive والتشاور مع المورّد"]
    A2["اشتبهوا فيما سوى المرشّح:<br/>الذاكرة المؤقّتة (الجزء 4) والتفتيت وMFT (الجزء 5)<br/>والوجهة الشبكيّة (UNC) والجهاز نفسه"]
    S --> P1 --> Q1
    Q1 -->|"نعم"| F1 --> Q2
    Q2 -->|"نعم"| A1
    Q2 -->|"لا"| A2
    Q1 -->|"لا (متفرّق)"| A2

الشكل 6: فرز البطء الناجم عن المرشّح. المفتاح «الزمن لكلّ عمليّة» و«فرق تكوين المرشّحات بين البيئات»

نقطتان. الأولى، لدى Procmon زمن لكلّ عمليّة (Duration). إن فكّكتم «بطيء» إلى «أيّ عمليّة بطيئة» انتهى نصف البحث عن الجاني. الثانية، فرق البيئة كثيراً ما يكون فرق تكوين المرشّحات. آلة التطوير وآلة الإنتاج، حاسوب الشركة وحاسوب العميل — صفّوا مخرجات fltmc فحسب فتظهر المرشّحات التي ينبغي الاشتباه فيها.

الخطوات الثلاث الأولى إن لم تلمسوا Procmon من قبل. عمود Duration غير معروض افتراضيّاً، فنكتب التشغيل حتّى لا تتوقّفوا هنا.

1. شغّلوا Procmon.exe كمدير.
2. افتحوا Options menu > Select Columns… وفعّلوا Duration من قائمة الأعمدة.
3. في Filter menu > Filter… (Ctrl+L) أدخلوا Process Name / is / اسم exe المستهدف / Include، واضغطوا زرّ Add ثمّ OK (بلا Add لا يدخل الشرط).

بعد ذلك انقروا عمود Duration للفرز فتجتمع العمليّات التي تستهلك الوقت في الأعلى. للتجميع حسب العمليّة أو الملفّ يمكن أيضاً Tools menu > File Summary. تشغيل ProcMon عموماً ملخَّص في «دليل عملي لأداة Process Monitor (ProcMon)».

8. اللمسة الأخيرة للسلسلة ── خريطة الأجزاء الستّة

بهذا فتحنا كلّ صناديق الخريطة التي رسمناها في الجزء 1. نجمع الكلّ في ورقة واحدة.

flowchart TB
    APP["التطبيق<br/>ReadFile / WriteFile / async-await"]
    API["الجزء 2: إدخال/إخراج تزامنيّ ولاتزامنيّ<br/>وضع المقبض وOVERLAPPED"]
    IOCP["الجزء 3: IOCP ومجمع مؤشّرات الترابط في .NET<br/>استلام الإكمال وتشغيل الاستمرار"]
    IOM["الجزء 1: مدير الإدخال/الإخراج وIRP<br/>حلّ الأسماء والكائنات الثلاثة ومكدّس الأجهزة"]
    FLT["الجزء 6: المرشّحات والمرشّحات المصغّرة<br/>FltMgr والارتفاع وpre/post"]
    CACHE["الجزء 4: مدير الذاكرة المؤقّتة<br/>عرض 256 كيلوبايت وlazy writer والإدخال/الإخراج السريع<br/>(يعمل بالتنسيق مع NTFS)"]
    NTFS["الجزء 5: NTFS<br/>MFT والدفق والربط والسجلّان"]
    HW["مكدّس التخزين والجهاز"]
    APP --> API
    API --> IOM
    IOCP -. "الإكمال يعود إلى هنا" .-> APP
    IOM --> FLT
    FLT --> NTFS
    NTFS -. "إدخال/إخراج مفعَّل الذاكرة المؤقّتة يتنسّق<br/>(نظام الملفّات يستدعي وظيفة الذاكرة المؤقّتة)" .- CACHE
    NTFS --> HW
    HW -. "مقاطعة → إكمال (الجزء 1)" .-> IOCP

الشكل 7: خريطة السلسلة كلّها. مدير الذاكرة المؤقّتة ليس «طبقة تُعبَر» بل رفيقاً يتنسّق مع نظام الملفّات، وعند فقدان الذاكرة المؤقّتة يخرج طلب من NTFS إلى التخزين

• الجزء 1: الصورة الكلّيّة ── كلّ قراءة وكتابة تصير IRP
• الجزء 2: التزامنيّ/اللاتزامنيّ ── المعنى الحقيقيّ لـ OVERLAPPED
• الجزء 3: IOCP ── قبو async/await
• الجزء 4: الذاكرة المؤقّتة ── متى يصل WriteFile إلى القرص
• الجزء 5: NTFS ── فهم نظام الملفّات من MFT
• الجزء 6: المرشّحات والمرشّحات المصغّرة (هذا المقال) ── لماذا يستطيع Procmon ومسح الفيروسات التقاطع مع الإدخال/الإخراج

9. الخلاصة ── خاتمة السلسلة

خلاصة الحلقة الأخيرة.

• التقاطع مع الإدخال/الإخراج نقطة توسيع يقرّها نظام التشغيل، والمعيار الحاليّ تسجيل استدعاءات لدى FltMgr (مرشّح مصغّر). الترتيب محسوم بالارتفاع، وMicrosoft يخصّص الأرقام ويديرها.²⁴⁵
• الحركة استدعاءات pre/post. يمكن التمرير والرفض والنيابة وإعادة الكتابة، والحضور عند الإدخال/الإخراج السريع أيضاً. Procmon وDefender وOneDrive سكّان الآليّة نفسها.¹¹¹¹⁰
• إعداد الاستثناء = تخطّي المسح، مقايضة مع الحماية. لمجلّدات التطوير خيار أكثر أماناً: Dev Drive (مسح لاتزامنيّ).⁶⁷
• «بطء تلك البيئة وحدها» يُفرَز من Duration في Procmon وفرق تكوين fltmc — أدوات السلسلة تصير إجراء التحقيق كما هي.

وخلاصة السلسلة كلّها في سطر: إدخال/إخراج Windows تصميم متّسق يحدّد الوجهة في فضاء الأسماء، ويحوّل الطلب إلى رزمة (IRP) تسير بين الطبقات، ويتيح لكلّ طبقة اختيار «الرؤية أو الاحتفاظ أو النيابة». تحت سطر File.ReadAllText واحد، تتحرّك بنية هذه الأجزاء الستّة في كلّ مرّة. بدل حفظ سلوك الواجهة عن ظهر قلب، الاستدلال من هذه الخريطة بأنّ «هكذا ينبغي أن يكون» — تلك القوّة التي أردنا أن تكتسبوها في هذه السلسلة. شكراً لمرافقتكم في رحلة طويلة.

مقالات ذات صلة

• أعماق إدخال/إخراج Windows (الجزء 1) ── كلّ قراءة وكتابة تصير IRP: الصورة الكلّيّة لنظام الإدخال/الإخراج
• أعماق إدخال/إخراج Windows (الجزء 4) ── مدير الذاكرة المؤقّتة: متى يصل WriteFile فعلاً إلى القرص؟
• أعماق إدخال/إخراج Windows (الجزء 5) ── البنية الداخليّة لـ NTFS: فهم نظام الملفّات من MFT
• دليل عملي لأداة Process Monitor (ProcMon) — تحديد سبب «عدم قراءة الإعدادات» و«ACCESS DENIED» خلال 10 دقائق
• عندما يُعامَل تطبيق Windows الذي طوّرته شركتك بوصفه فيروساً ── التعامل مع الكشف الخاطئ في Microsoft Defender والتعايش مع أثره على الأداء
• Process Explorer / Handle / VMMap عمليّاً ── مطاردة التعليقات والتسريبات و«الملفّ قيد الاستخدام» من الحالة الآن
• قائمة تحقّق للحدّ الأدنى من الأمان في تطوير تطبيقات Windows

مجالات الاستشارة ذات الصلة

تتعامل شركة كومورا سوفت ذ.م.م. مع تحقيقات مشاكل أداء تطبيقات أعمال Windows وأخطائها التي تتورّط فيها برامج تشغيل المرشّح، مثل «بطيء في بيئة معيّنة فقط» و«برمجيّة الأمن تتداخل مع تطبيقنا».

• تطوير تطبيقات Windows
• التحقيق في الأخطاء وتحليل الأسباب الجذريّة
• الاستشارات التقنيّة ومراجعة التصميم
• تواصل معنا

روابط مرجعيّة

مقالات ذات صلة

أحدث المقالات التي تشترك في نفس الوسوم. عمّق فهمك بمواضيع مرتبطة.

أين يتصل هذا الموضوع

ترتبط هذه المقالة بشكل طبيعي بصفحات الخدمات التالية.

الأسئلة الشائعة

أسئلة شائعة حول موضوع هذه المقالة.

ما الفرق بين برنامج تشغيل مرشّح نظام الملفّات والمرشّح المصغّر؟

كلاهما «برنامج تشغيل يتقاطع مع طلبات الإدخال/الإخراج إلى نظام الملفّات»، لكنّهما يختلفان في جيل طريقة التقاطع. كان المرشّح القديم (القديم) يرصف كائن جهازه مباشرة على مكدّس أجهزة نظام الملفّات، فتُحسَم الموضع بترتيب التحميل ويصعب ضمانه، وكانت هناك مشاكل مثل تعذّر الإلغاء الآمن بعد التحميل. المعيار الحاليّ، المرشّح المصغّر، يسجّل استدعاءات مع مدير المرشّحات (FltMgr) المرفق بـ Windows، بمعنى «نادوني قبل هذه العمليّة وبعدها». يُحسَم الموضع حسماً قاطعاً برقم يُسمّى الارتفاع، ويمكن التحميل في أيّ وقت، ومرشّح ينفّذ استدعاء إلغاء التحميل يمكن نزعه حتّى أثناء التشغيل. تكاد كلّ المرشّحات الحديثة — مكافحة الفيروسات، والتشفير، وأدوات المراقبة، ومزامنة السحابة — تُنفَّذ كمرشّحات مصغّرة.

لماذا تستطيع برمجيّات مكافحة الفيروسات فحص كلّ وصول إلى ملفّ؟

لأنّ نظام التشغيل يوفّر رسميّاً نقطة توسيع لهذا الغرض تحديداً. يستطيع المرشّح المصغّر تسجيل شيفرة لدى مدير المرشّحات لتُستدعى قبل (استدعاء pre) وبعد (استدعاء post) عمليّات مثل فتح ملفّ أو قراءته أو كتابته. يقع مرشّح مكافحة الفيروسات في نطاق الارتفاع المحجوز لمكافحة الفيروسات (320000–329999)، ويستطيع مثلاً مسح المحتوى فور نجاح فتح ملفّ (post-create)، وإن وُجدت مشكلة إبطال ذلك الفتح فيفشل الوصول. كما رأينا في الجزء 1 من السلسلة، كلّ إدخال/إخراج ملفّات يسير في مكدّس الأجهزة، فالمنطق أنّ الوقوف في موضع ثابت على ذلك المسار يتيح فحص كلّ وصول. ليست خدعة — بل آليّة مدمجة في تصميم نظام التشغيل.

ماذا يفعل إعداد استثناء مكافحة الفيروسات (استثناء مجلّد) تقنيّاً؟

لإدخال/إخراج على مسار يطابق قائمة الاستثناء، يجعل مرشّح ذلك المنتج يتخطّى المسح الذي كان سيجريه. المرشّح نفسه لا يختفي من المكدّس؛ الفهم الأدقّ أنّ قرار «لا تفحص هذا المسار» يُتَّخذ أبكر. قيد مهمّ أنّ الاستثناء يعمل فقط للمنتج الحامل لذلك الإعداد. مثلاً، إعداد استثناء Microsoft Defender يغيّر المسح الذي يجريه مرشّح Defender (WdFilter)، ولا يؤثّر في سلوك مرشّحات مصغّرة أخرى تجاوره — منتج مكافحة فيروسات منافس، أو EDR، أو نسخ احتياطيّ، وغيرها. كلّ منتج يحتاج إعداد استثناء خاصّاً به، وحين «ما زال بطيئاً بعد إضافة استثناء» قد يكون مرشّح آخر السبب. وكما تحذّر وثائق Microsoft مراراً، يُضعف الاستثناء الحماية في ذلك الموضع، فينبغي إبقاؤه حدّاً أدنى مع تقييم مخاطر. للاستخدام التطويريّ، يستحقّ أيضاً النظر في Dev Drive (وضع الأداء، أي مسح لاتزامنيّ)، المصمَّم بديلاً آمناً لاستثناءات المجلّدات.

كيف يسجّل Process Monitor كلّ عمليّة إدخال/إخراج؟

لأنّ Procmon نفسه يسجّل نفسه لدى مدير المرشّحات عند بدء التشغيل، كمرشّح مصغّر في نطاق ارتفاع Activity Monitor. إن نفّذتم fltmc من موجه أوامر بامتيازات مدير بينما Procmon يعمل، يمكن تأكيد ظهور مرشّح يبدأ اسمه بـ PROCMON في القائمة. لأنّه حاضر في مرحلتي pre وpost لعمليّات الإدخال/الإخراج على كلّ مجلّد كمرشّح مصغّر، يستطيع تسجيل أيّ عمليّة أجرتها أيّ عمليّة على أيّ ملفّ دون إغفال. سبب ظهور مصطلحات IRP والإدخال/الإخراج السريع التي تابعناها عبر السلسلة مباشرة في عرض Procmon هو تحديداً أنّه يراقب من موضع واقف على مسار الإدخال/الإخراج نفسه.

حين تكون عمليات البناء على آلة التطوير بطيئة، هل ينبغي الاشتباه في برامج تشغيل المرشّح؟

الاشتباه جدير تماماً. البناء كتلة هائلة من إنشاء وقراءة وكتابة وحذف عدد ضخم من الملفّات الصغيرة، وكلّ واحد منها يصير هدفاً لفحص المرشّحات (خصوصاً مسح مكافحة الفيروسات)، ممّا يجعله حمل العمل الذي يرجّح فيه ظهور كلفة المرشّح. إجراء التحقيق الأساسيّ فحص عمود Duration في Procmon لرؤية أيّ عمليّة يذهب إليها الوقت، ومقارنة فرق تكوين المرشّحات بين البيئات بـ fltmc instances. كتدبير، إلى جانب إعداد استثناء يُتَّخذ بعد تقييم المخاطر، هناك أيضاً استخدام Dev Drive، المصمَّم خصّيصاً لمجلّدات التطوير. على Dev Drive تعمل مكافحة الفيروسات في وضع الأداء (مسح لاتزامنيّ)، ويضع Microsoft هذا بديلاً أكثر أماناً من إعداد استثناء.

الملف الشخصي للمؤلف

صفحة الملف الشخصي لمؤلف المقالة.

غو كومورا

مؤسّس شركة كومورا سوفت ذ.م.م.

يركّز على تطوير برامج ويندوز، والاستشارات التقنية، والتحقيق في الأخطاء، ويتميّز في المشاريع التي تبقى فيها الأصول القديمة ناشطة، وفي تشخيص الأعطال التي يصعب تحديد سببها.