Process Monitor(procmon.exe)

ファイルI/O・レジストリ・プロセス/スレッド活動をリアルタイムに監視できるSysinternalsのツール。Advanced Outputを有効にすると、IRPやファストI/Oのカーネル側の語彙で操作を表示する。

概念URI

https://comcomponent.com/knowledge/procmon/

別名・表記

Procmon / Process Monitor

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• NTFSはProcess Monitor(procmon.exe)で確認できます。Procmonで$LogFileへの書き込み、ストリーム名付きのパス、リパース処理などNTFSの内部動作をリアルタイムに観察できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• NTLM/OperationalログはProcess Monitor(procmon.exe)で確認できます。SMB経由の通信はPIDが常に4(SYSTEM)になるため、相手サーバーのコンピューター名とIPアドレスでパスをフィルターしたProcess Monitorと、サーバー側イベント8003のタイムスタンプを突き合わせて呼び出し元プロセスを特定する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• ファストI/OはProcess Monitor(procmon.exe)で確認できます。ProcmonのOperation列にFASTIO_*とIRP_MJ_*が混在することで、要求がファストI/O経路と通常のIRP経路のどちらを通ったかを観察できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• IRP(I/O要求パケット)はProcess Monitor(procmon.exe)で確認できます。Process MonitorのAdvanced Outputを有効にすると、Operation列がIRP_MJ_READなどIRPのメジャーファンクションコードの語彙で表示される / 確度: 確立した関係 / 確認日: 2026-08-01 出典 出典
• ファストI/OはProcess Monitor(procmon.exe)で確認できます。Process MonitorのOperation列でFASTIO_で始まる行として、IRPを経由しない読み書きを観察できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典 出典
• Process Monitor(procmon.exe)はミニフィルターの実装を担います。Process Monitorは、起動時にActivity Monitor帯のミニフィルターとして自分自身をFltMgrに登録することで、ファイルシステムの活動をリアルタイムに監視する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はpre/postコールバックを利用します。Procmonはミニフィルターとして全ボリュームのI/O操作のpre/postコールバックに立ち会うことで、どのプロセスがどのファイルに何をしたかを漏れなく記録する / 確度: 確立した関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

• Windows I/Oの深層(第5回) ── NTFSの内部構造:MFTから理解するファイルシステム(言及)
• NTLM廃止で業務アプリは止まるか ── 監査ログの取り方と、依存を潰す順番(言及)
• Windows I/Oの深層(第4回) ── キャッシュマネージャー:あなたのWriteFileはいつディスクに届くのか(言及)
• Windows I/Oの深層(第1回) ── すべての読み書きはIRPになる:I/Oシステムの全体像(言及)
• Windows I/Oの深層(第6回・最終回) ── フィルタードライバーとミニフィルター:ProcmonとウイルススキャンがI/Oに割り込める理由(言及)

一次資料

• https://learn.microsoft.com/sysinternals/downloads/procmon

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。