知識マップ: Process Monitor(ProcMon)実践ガイド ── 「設定が読まれない」「ACCESS DENIED」を10分で特定する

記事「Process Monitor(ProcMon)実践ガイド ── 「設定が読まれない」「ACCESS DENIED」を10分で特定する」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

この記事は、環境依存の不具合調査でコードを読む前にProcMonで実際のファイル・レジストリアクセスを記録することの実務手順を扱う。まずProcess Nameでプロセスを絞り、次にResultで異常系に絞る2段階フィルタが定石で、NAME NOT FOUND・ACCESS DENIED・SHARING VIOLATIONは連なりの終わり方まで読んで初めて原因と言える。DLLが見つからない問題や設定ファイルがVirtualStoreやWOW64のリダイレクトで意図しない場所に化けている問題は、このNAME NOT FOUNDの連鎖やPath列から特定できる。一方でパケットの中身やCPU時間の内訳、クラッシュ瞬間のスタックはProcMonの守備範囲外であり、Process Explorer・PerfView・WinDbg・pktmonなど他ツールへの使い分けが必要になる。

flowchart LR
    accTitle: Process Monitor(ProcMon)実践活用の知識マップ
    accDescr: ProcMonのフィルタ手順とResult列の読み方が、DLL探索やVirtualStore・WOW64の問題をどう特定するかを示し、Process Explorerなど他ツールとの守備範囲の違いをまとめた図。
    procmon["Process Monitor(procmon.exe)"]
    environment_dependent_bug_investigation["環境依存の不具合調査"]
    procmon_filter["ProcMonのフィルタ(2段階絞り込み)"]
    pml_file["PMLファイル(Process Monitor Log形式)"]
    boot_logging["ブートタイムロギング(Enable Boot Logging)"]
    procmon_name_not_found["NAME NOT FOUND(Result値)"]
    procmon_access_denied["ACCESS DENIED(Result値)"]
    procmon_sharing_violation["SHARING VIOLATION(Result値)"]
    procmon_buffer_overflow["BUFFER OVERFLOW(Result値)"]
    dll_search_order["DLLの検索順序"]
    virtualstore_redirection["VirtualStoreへの仮想化"]
    wow64_redirection["WOW64リダイレクト"]
    process_explorer["Process Explorer"]
    admin_rights["管理者権限"]
    handle_leak["ハンドルリーク"]
    packet_capture_investigation["パケットキャプチャによる通信調査"]
    perfview_dotnet_trace["PerfView / dotnet-trace"]
    windbg["WinDbg"]
    application_verifier["Application Verifier"]
    procmon -->|"推奨される対応"| environment_dependent_bug_investigation
    procmon -->|"利用する"| procmon_filter
    procmon -->|"利用する"| pml_file
    procmon -->|"利用する"| boot_logging
    procmon -->|"利用する"| procmon_name_not_found
    procmon -->|"利用する"| procmon_access_denied
    procmon -->|"利用する"| procmon_sharing_violation
    procmon -->|"利用する"| procmon_buffer_overflow
    dll_search_order -->|"で確認できる"| procmon_name_not_found
    virtualstore_redirection -->|"で確認できる"| procmon
    wow64_redirection -->|"で確認できる"| procmon
    procmon_sharing_violation -->|"で確認できる"| process_explorer
    procmon -->|"前提とする"| admin_rights
    handle_leak -->|"で確認できる"| process_explorer
    procmon -->|"用いるのは非推奨"| packet_capture_investigation
    procmon -->|"用いるのは非推奨"| perfview_dotnet_trace
    procmon -->|"用いるのは非推奨"| windbg
    procmon -->|"用いるのは非推奨"| application_verifier

概念間の関係(全18件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• Process Monitor(procmon.exe)は環境依存の不具合調査に対する本記事の推奨です。環境依存の不具合調査で最初にやるべきことは、コードを読むことではなく、ProcMonで実際に何が起きたかの記録を取ることである / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はProcMonのフィルタ(2段階絞り込み)を利用します。ProcMonは絞り込んでから読むツールで、まずProcess Nameで対象プロセスに絞り、次にResultで異常系に絞る2段階フィルタが定石になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はPMLファイル(Process Monitor Log形式)を利用します。ProcMonのログはPMLファイルとして保存すれば、別のマシンでも全カラム・全詳細を確認できるため、顧客環境で採取して自社で解析する分業が成立する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はブートタイムロギング(Enable Boot Logging)を利用します。サービスがログオン前に失敗するなど、ProcMonを手動起動するより前に起きる問題にはEnable Boot Loggingでブート初期からのイベントを記録する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はNAME NOT FOUND(Result値)を利用します。ProcMonのResult列にはNAME NOT FOUNDのような値が表示され、探索順の途中経過か本当に見つからないのかを連なりで判断する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はACCESS DENIED(Result値)を利用します。ProcMonのResult列にはACCESS DENIEDが表示され、原因の可能性が高い結果として調査の起点になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はSHARING VIOLATION(Result値)を利用します。ProcMonのResult列にはSHARING VIOLATIONが表示され、時系列で前後の行を見ることでファイルを掴んでいる相手を特定できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はBUFFER OVERFLOW(Result値)を利用します。ProcMonのResult列にはBUFFER OVERFLOWのような一見異常に見えるが実際は正常なAPIの往復を示す値も表示される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• DLLの検索順序はNAME NOT FOUND(Result値)で確認できます。DLLが見つからない、または意図しないDLLを掴んでいる問題は、Pathに対するNAME NOT FOUNDの連なりが探索順どおりに並び、最後にSUCCESSがあるかどうかで確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• VirtualStoreへの仮想化はProcess Monitor(procmon.exe)で確認できます。Program Files配下への書き込みがVirtualStoreへ仮想化されているかどうかは、ProcMonのPath列に出る実際の読み書き先を見れば分かる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• WOW64リダイレクトはProcess Monitor(procmon.exe)で確認できます。32bitプロセスがWOW64のリダイレクトを受けて意図と違う場所を見ている場合も、ProcMonのPathに実際のアクセス先が出るため確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• SHARING VIOLATION(Result値)はProcess Explorerで確認できます。「今この瞬間、誰が同じファイルを掴んでいるか」を知りたいだけなら、ProcMonよりProcess Explorerのハンドル検索の方が速く確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)は管理者権限を前提とします。ProcMonはカーネルドライバーを読み込むため、起動には管理者権限(UACの昇格)が必要になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• ハンドルリークはProcess Explorerで確認できます。長期稼働でハンドルやメモリが増え続ける原因は、Process Explorerでハンドル数やDLLの状態を観察することで確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をパケットキャプチャによる通信調査に用いることは推奨されません。ProcMonはTCP/UDPの接続イベントは記録するがパケットの中身までは見えないため、プロトコルレベルの調査に用いるのは推奨されない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をPerfView / dotnet-traceに用いることは推奨されません。CPUをどこで使っているかの本格的なプロファイリングにProcMonを用いるのは推奨されず、PerfViewやdotnet-traceの領分になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をWinDbgに用いることは推奨されません。クラッシュ・ハングの瞬間のメモリとスタックの解析にProcMonを用いるのは推奨されず、WinDbg+ダンプの領分になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をApplication Verifierに用いることは推奨されません。ヒープ破壊やハンドルの二重解放などAPIの誤用の検出にProcMonを用いるのは推奨されず、Application Verifierの領分になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

Process Monitor(procmon.exe)

ファイルI/O・レジストリ・プロセス/スレッド活動をリアルタイムに監視できるSysinternalsのツール。Advanced Outputを有効にすると、IRPやファストI/Oのカーネル側の語彙で操作を表示する。

環境依存の不具合調査

特定の環境や端末でだけ起きる不具合の原因を、コードを読むより先に、実際に何が起きたかの記録(ファイル・レジストリアクセスなど)から特定していく調査の進め方。

DLLの検索順序

Windowsが実行ファイルの起動時に限らず、LoadLibrary系APIによる動的な読み込み時も含めて、DLL redirectionやKnown DLLsなどの前段ルールを経てDLLを探す、決まった順序でフォルダーを辿る仕組み。

VirtualStoreへの仮想化

Program Files配下など管理者権限が必要な場所への書き込みが、実際にはユーザーごとのVirtualStoreフォルダーへリダイレクトされ、読み書きが別の場所に化けるWindowsの互換機能。

WOW64リダイレクト

32bitプロセスからのシステムフォルダーやレジストリへのアクセスが、WOW64によって別のビューへ自動的に振り替えられる仕組み。見ているつもりの場所と実際にアクセスする場所がずれる原因になる。

SHARING VIOLATION(Result値)

ProcMonのResult列に出る、他のプロセスが排他的にファイルを開いているために生じる共有違反を示す値。ファイルロックの競合原因の特定に使う。

ハンドルリーク

参照カウントやハンドルカウントの数え違いなどにより、不要になったハンドル(ファイル・イベント・スレッド・GDIオブジェクト・アクセストークンなどカーネルオブジェクトへの参照)が解放されずに積み上がっていく状態。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。