Глубины ввода-вывода Windows (часть 6, финал) — фильтры и минифильтры: почему Procmon и антивирусное сканирование могут перехватывать I/O

Финал серии «Глубины ввода-вывода Windows».

Ещё в части 1 на схеме стека устройств появился блок «фильтры файловой системы (антивирус, шифрование, Procmon и другие)». С тех пор компоненты, которые встают на пути запроса, не раз возвращались в текст: почему Procmon записывает весь I/O (часть 1); «доступ к файлам медленный только в этой среде» (часть 2); точка повторной обработки (reparse point), из‑за которой OneDrive начинает скачивание в момент открытия файла (часть 5). В этой части разберём сам механизм перехвата — драйверы фильтров файловой системы и минифильтры — и закроем вопросы, которые серия оставляла открытыми.

1. Сначала выводы

• Перехват I/O — официальная точка расширения ОС. Фильтр файловой системы может просматривать, изменять, отклонять запросы к файловой системе и обрабатывать их вместо неё (глава 2).¹
• Нынешний стандарт — минифильтр. Чтобы закрыть проблемы устаревшего способа — прямой вставки в стек устройств (неопределённый порядок, нельзя выгрузить) — модель сменилась на регистрацию обратных вызовов в диспетчере фильтров (FltMgr), который входит в состав Windows (глава 2).²³
• Работают через обратные вызовы pre/post. До и после каждой операции их вызывают в порядке регистрации, то есть в порядке высот. Пропустить дальше, завершить самому, отклонить, изменить — «выбор драйвера» из части 1 работает как есть (глава 3).²
• Высота (altitude) задаёт порядок. По типу назначения выделены диапазоны номеров (Activity Monitor 360000–389999, Anti-Virus 320000–329999 и т. п.); у каждого экземпляра, присоединённого к тому, уникальный номер (глава 4).⁴⁵
• Какие фильтры стоят на вашем ПК, видно через fltmc. Procmon (только пока запущен), антивирус, облачный фильтр OneDrive — все есть в этом списке (глава 5).
• Исключение в антивирусе — это пропуск сканирования только у этого продукта; на другие минифильтры оно не влияет. Исключение — компромисс: защита слабеет. Для томов разработки есть более безопасный вариант — Dev Drive (асинхронное сканирование) (глава 6).⁶⁷
• Расследование «медленно только в этой среде» начинают со столбца Duration в Procmon и сравнения конфигурации fltmc (глава 7).

На схеме сплошная линия обозначает отношение, которое выполняется всегда, а пунктирная — условное отношение (условия указаны в пояснении к каждому отношению на странице сведений). Полный список отношений (всего 34, с доказательствами и степенью уверенности) и определения основных понятий собраны на странице сведений карты знаний (на японском). Данные: JSON-LD / Turtle

2. Как фильтры встали на путь I/O — от устаревшего фильтра к FltMgr

Драйвер фильтра файловой системы — драйвер, который может перехватить запросы, идущие к файловой системе (или к тому под ней). Записывать, наблюдать, менять содержимое, вплоть до отклонения и подмены обработки — на этом стоят антивирус, шифрование, резервное копирование, иерархическое управление хранилищем.¹

Старый способ реализации (устаревший фильтр) напрямую вставлял свой объект устройства в стек устройств из части 1. По устройству прямолинейно, на практике проблем полно: порядок в стеке зависит от порядка загрузки и его трудно гарантировать; после загрузки фильтр нельзя безопасно снять (выгрузить); это источник взаимных сбоев и несовместимостей между фильтрами.

Поэтому Windows ввела диспетчер фильтров (FltMgr). Сам FltMgr как штатный фильтр ОС стоит на стеке, а отдельные функции фильтра как минифильтры регистрируют обратные вызовы в FltMgr.²

flowchart TB
    subgraph OLD["Устаревший способ"]
        L1["Устаревший фильтр A"]
        L2["Устаревший фильтр B"]
        LFS1["Файловая система"]
        L1 --> L2
        L2 --> LFS1
        NOTE1["Порядок — как загрузились<br/>безопасной выгрузки нет"]
    end
    subgraph NEW["Способ минифильтра (нынешний стандарт)"]
        FM["Диспетчер фильтров (FltMgr)<br/>входит в состав ОС. На стеке стоит только он"]
        M1["Минифильтр A (высота больше)"]
        M2["Минифильтр B (высота меньше)"]
        LFS2["Файловая система"]
        FM -. "регистрация обратного вызова" .- M1
        FM -. "регистрация обратного вызова" .- M2
        FM --> LFS2
        NOTE2["Порядок однозначно задаёт высота<br/>загрузка в любой момент<br/>(поддерживающие фильтры можно и выгрузить)"]
    end

Рис. 1: Смена модели. Не «вставлять» в стек, а «регистрировать» в FltMgr.

Плюсы модели минифильтра официально перечислены: загружать когда угодно, управлять порядком, а фильтр с обратным вызовом выгрузки можно снять и на работающей системе (не реализовавший или отказавший — снять нельзя).³ Чтобы сосуществовать с устаревшими фильтрами, FltMgr может стоять в нескольких местах стека как несколько «кадров» (frames); минифильтр после выгрузки и повторной загрузки возвращается на то же место (ту же высоту).² Современные антивирус, наблюдение, синхронизация — почти все такие минифильтры.

3. Как работает минифильтр — обратные вызовы pre/post

Минифильтр объявляет FltMgr, какими операциями интересуется. Например, только IRP_MJ_CREATE (открыть) и IRP_MJ_WRITE (писать). Тогда каждый раз, когда такая операция проходит по стеку, вызываются обработчик до операции (обратный вызов pre) и обработчик после операции (обратный вызов post).

sequenceDiagram
    participant IOM as Диспетчер I/O
    participant FM as FltMgr
    participant A as Минифильтр A<br/>(высота больше)
    participant B as Минифильтр B<br/>(высота меньше)
    participant FS as NTFS

    IOM->>FM: Запрос (IRP_MJ_CREATE и т. п. Мир части 1)
    FM->>A: Обратный вызов pre
    FM->>B: Обратный вызов pre
    FM->>FS: К файловой системе
    FS-->>FM: Результат обработки
    FM-->>B: Обратный вызов post
    FM-->>A: Обратный вызов post
    FM-->>IOM: Завершение (к потоку завершения части 1)

Рис. 2: Обратные вызовы pre/post. Туда — по убыванию высоты, обратно — в обратном порядке.

Что можно сделать в каждом обратном вызове. Та же схема, что «три выбора драйвера» в п. 4.3 части 1, только более безопасным API.

flowchart TB
    PRE["Вызван обратный вызов pre"]
    Q{"Что делать с этой операцией"}
    PASS["Пропустить дальше<br/>(если post не нужен — объявить и это)"]
    DENY["Отклонить<br/>сразу вернуть отказ в доступе и т. п.<br/>пример: вирус найден, запись запрещена"]
    DONE["Завершить самому<br/>пример: облачный фильтр<br/>достаёт содержимое и подставляет"]
    MOD["Поправить параметры или содержимое и пустить дальше<br/>пример: фильтр шифрования"]
    PRE --> Q
    Q --> PASS
    Q --> DENY
    Q --> DONE
    Q --> MOD

Рис. 3: Выбор в обратном вызове pre. «Смотреть, остановить, взять на себя, изменить» — всё это официально можно.

И здесь закрывается вопрос, отложенный в части 4: минифильтр присутствует и на Fast I/O (короткий путь без IRP). FltMgr проводит механизм обратных вызовов и по пути Fast I/O, поэтому ситуации «ушли коротким путём — и не видно», как в эпоху устаревших фильтров, не бывает. Строки FASTIO_ в журнале Procmon — следствие этой позиции.

4. Высота — «отметка» задаёт порядок

Когда нескольким фильтрам интересна одна операция, кто смотрит первым — серьёзный вопрос. Если антивирус смотрит после шифрования, придётся сканировать шифротекст; средство наблюдения должно быть выше всех, иначе целиком поток не увидит.

Этот порядок задаёт высота (altitude). По типу фильтра определены группы порядка загрузки и диапазоны номеров. Точнее, единица, которой дают высоту, — не драйвер целиком, а экземпляр минифильтра, присоединяемый к тому. Номер уникален; чем больше, тем выше на стеке (ближе к приложению).⁴ Один драйвер может иметь несколько определений экземпляров и появляться на разных высотах — поэтому список fltmc instances идёт по экземплярам.

flowchart TB
    APP["Ближе к приложению (число больше)"]
    G1["FSFilter Activity Monitor: 360000–389999<br/>наблюдение и запись I/O (Procmon здесь)"]
    G2["FSFilter Undelete: 340000–349999<br/>восстановление удалённых файлов"]
    G3["FSFilter Anti-Virus: 320000–329999<br/>обнаружение и удаление вирусов"]
    G4["FSFilter Replication: 300000–309999<br/>репликация на удалённую сторону"]
    G5["FSFilter Continuous Backup: 280000–289999<br/>непрерывное резервное копирование"]
    G6["Ещё ниже: Content Screener /<br/>Quota Management / System Recovery /<br/>диапазоны шифрования, сжатия и др."]
    FS["Ближе к файловой системе (число меньше)"]
    APP --> G1 --> G2 --> G3 --> G4 --> G5 --> G6 --> FS

Рис. 4: Диапазоны высот (выдержка). У каждого назначения своя «отметка, на которой стоять».

Важно: эти номера назначает и ведёт Microsoft.⁵ Вендор не выбирает число сам — подаёт заявку и получает. Поэтому на любом ПК держится порядок «наблюдение выше антивируса, антивирус выше шифрования». Это и был ответ на «лотерею порядка загрузки» эпохи устаревших фильтров.

Куда подавать заявку, если минифильтр пишете сами. Для разработчика — только следующий шаг. Высоту запрашивают по процедуре Request a Filter Altitude Identifier: письмо на английском на fsfcomm@microsoft.com с темой «Filter altitude request». Нужно заполнить всё: название компании, контакт (не личный, а долгоживущий корпоративный псевдоним), имя продукта, URL продукта, описание фильтра, имя файла драйвера, тип фильтра, тип запуска, желаемую группу порядка загрузки и желаемую высоту. Явно сказано: закладывать 30 рабочих дней, отдельного «срочного» окна нет, назначенный номер может отличаться от желаемого.⁸ Если у компании уже есть целочисленная высота в той же группе порядка загрузки, дробное значение от этого номера (например 325000.3) можно выбрать самим и достаточно сообщить письмом после факта.⁸

5. Кто стоит на вашей машине — свой ПК глазами fltmc

Хватит теории, посмотрим на живую систему. В командной строке с правами администратора:

:: Список зарегистрированных минифильтров (с высотой)
fltmc

:: Какой фильтр на каком томе
fltmc instances

:: Со стороны томов
fltmc volumes

fltmc без аргументов даёт тот же список, что fltmc filters. Вывод — четыре столбца; тот же формат есть в документации Microsoft.⁹

C:\Windows\system32>fltmc

Filter Name                     Num Instances    Altitude    Frame
------------------------------  -------------  ------------  -----
bindflt                                 1        409800         0
cldflt                                  1        409500         0
WdFilter                                4        328010         0
luafv                                   1        135000         0
FileInfo                                4         45000         0

Выше — выдержка для объяснения. Набор фильтров и число экземпляров зависят от среды, но числа высот — фиксированные значения, назначенные Microsoft, их можно сверить с открытым списком из главы 4.

Смысл столбцов.

Уже по этим пяти строкам видно: bindflt и cldflt в самом верхнем диапазоне FSFilter Top (400000–409999), WdFilter в Anti-Virus (320000–329999), FileInfo в самом нижнем FSFilter Bottom (40000–49999). Картина главы 4 «у каждого назначения своя отметка» читается прямо по числам. И если запустить Procmon и снова выполнить fltmc, в диапазоне Activity Monitor (360000–389999) появится ещё одна строка, начинающаяся с PROCMON.

Набор фильтров зависит от среды, но типичные имена — постоянные герои этой серии.

• WdFilter — минифильтр Microsoft Defender. Стоит в диапазоне Anti-Virus. На многих ПК — точка, через которую проходит каждый файловый I/O.
• cldflt — фильтр облачных файлов. Тот компонент, который реализует Files On-Demand OneDrive: когда открывают точку повторной обработки (заполнитель) из части 5, готовит содержимое.¹⁰
• PROCMON24 (и т. п.) — временный минифильтр диапазона Activity Monitor, который появляется только пока запущен Process Monitor. Вот почему Procmon видит весь I/O.¹¹ Сравните fltmc до и после запуска.
• Прочее: ПО резервного копирования, продукты шифрования (защита от утечек), EDR, виртуализованное хранилище — чем ближе машина к рабочей, тем список длиннее.

Инструмент Procmon, которым пользовались с части 1, в финале видно с другой стороны: наблюдатель сам оказывается частью того же механизма, который наблюдает.

6. Где антивирус тратит время

Самое заметное практическое следствие фильтров — стоимость антивирусного сканирования. Где возникает задержка — на схеме (детали зависят от продукта; ниже типичная форма).

sequenceDiagram
    participant App as Приложение
    participant AV as Минифильтр AV
    participant FS as NTFS

    App->>AV: Открыть файл
    Note over AV: pre-create: предварительное решение по пути и политике
    AV->>FS: Пропустить (выполнить открытие)
    FS-->>AV: Открытие удалось (post-create)
    Note over AV: Если файл ещё не сканировали,<br/>здесь сканируют содержимое<br/>и при проблеме отменяют открытие<br/>── главная причина медленного открытия
    AV-->>App: Если проблем нет — возвращается дескриптор
    App->>AV: Запись / закрытие
    Note over AV: Изменённый файл снова<br/>идёт в сканирование, например при закрытии
    Note over App,FS: На массе мелких файлов (промежуточные файлы сборки и т. п.)<br/>этот цикл складывается на число файлов

Рис. 5: Где возникает стоимость сканирования. На один файл мало, на десятки тысяч — становится доминирующим.

Отсюда точно понимаются две практические темы.

Технический смысл исключения. На I/O по пути из списка исключений сканирование фильтра пропускается. Фильтр со стека не исчезает; ближе к действительности: решение «не проверять» принимается раньше. И ещё одно важное ограничение: исключение действует только на фильтр того продукта, в котором его настроили. Исключение Microsoft Defender меняет сканирование WdFilter и никак не влияет на соседние минифильтры (чужой антивирус, EDR, резервное копирование, шифрование). «Поставил исключение — всё равно медленно» — подозревайте, что время ест другой фильтр (сравнение fltmc в главе 7). Эффект большой, но исключение гарантированно ослабляет защиту в этом месте. Документация Microsoft многократно предупреждает: исключение снижает защиту, определять минимально и вместе с оценкой риска.⁶ Практика ложных срабатываний и влияния на производительность — в «Если ваше Windows-приложение приняли за вирус».

Новый ответ — Dev Drive. Том, рассчитанный на нагрузку разработки (масса мелких файлов); Microsoft Defender работает в режиме производительности (асинхронное сканирование). Позиционируется как более безопасная альтернатива исключению папки: по умолчанию дополнительные фильтры не присоединяются, но есть и жёсткое предупреждение не эксплуатировать том совсем без фильтров.⁷ Нынешняя рекомендация Microsoft на случай «хочу быстрее собирать, но исключение страшно».

7. Порядок расследования «медленно только в этой среде»

Инструменты, накопленные серией, в конце складываем в одну процедуру.

flowchart TB
    S["Симптом: то же приложение,<br/>файловый доступ медленный только в одной среде"]
    P1["Смотреть столбец Duration в Procmon<br/>на какую операцию (IRP_MJ_CREATE? WRITE?)<br/>уходит время"]
    Q1{"Одна операция равномерно медленная?"}
    F1["Сравнить fltmc instances с быстрой средой<br/>разница конфигурации фильтров"]
    Q2{"Виноват фильтр из разницы?"}
    A1["Исключение (с оценкой риска),<br/>Dev Drive, разговор с вендором"]
    A2["Подозревать не фильтры:<br/>кэш (часть 4), фрагментация и MFT (часть 5),<br/>сетевая цель (UNC), само устройство"]
    S --> P1 --> Q1
    Q1 -->|"да"| F1 --> Q2
    Q2 -->|"да"| A1
    Q2 -->|"нет"| A2
    Q1 -->|"нет (спорадически)"| A2

Рис. 6: Как отличить медленный I/O из‑за фильтров. Ключ — «время на операцию» и «разница конфигурации фильтров между средами».

Два пункта. Первое: у Procmon есть длительность каждой операции (Duration). Разложить «медленно» на «какая операция медленная» — половина поиска виновного. Второе: разница сред часто есть разница конфигурации фильтров. Машина разработки и боевая, свой ПК и ПК заказчика — положить рядом вывод fltmc, и кандидаты уже видны.

Первые три шага, если Procmon ещё не трогали. Столбец Duration по умолчанию не показан — чтобы здесь не остановиться, только операции.

1. Запустить Procmon.exe от имени администратора.
2. Options > Select Columns…, в списке столбцов отметить Duration.
3. Filter > Filter… (Ctrl+L): Process Name / is / имя целевого exe / Include, нажать Add и затем OK (без Add условие не попадёт).

После этого щелчок по Duration сортирует, операции, которые едят время, собираются сверху. Для сводки по процессу и файлу есть ещё Tools > File Summary. Операции ProcMon в целом — в «Практическое руководство по Process Monitor (ProcMon)».

8. Финал серии — карта шести частей

Все блоки карты части 1 открыты. Целое — на одном листе.

flowchart TB
    APP["Приложение<br/>ReadFile / WriteFile / async-await"]
    API["Часть 2: синхронный и асинхронный I/O<br/>режим дескриптора и OVERLAPPED"]
    IOCP["Часть 3: IOCP и пул потоков .NET<br/>приём завершения и выполнение продолжения"]
    IOM["Часть 1: диспетчер I/O и IRP<br/>разрешение имён, три объекта, стек устройств"]
    FLT["Часть 6: фильтры и минифильтры<br/>FltMgr, высота, pre/post"]
    CACHE["Часть 4: диспетчер кэша<br/>представление 256 КБ, lazy writer, Fast I/O<br/>(работает в связке с NTFS)"]
    NTFS["Часть 5: NTFS<br/>MFT, потоки, связи, два журнала"]
    HW["Стек хранилища и устройство"]
    APP --> API
    API --> IOM
    IOCP -. "завершение возвращается сюда" .-> APP
    IOM --> FLT
    FLT --> NTFS
    NTFS -. "I/O с кэшем — связка<br/>(файловая система вызывает функции кэша)" .- CACHE
    NTFS --> HW
    HW -. "прерывание → завершение (часть 1)" .-> IOCP

Рис. 7: Карта всей серии. Диспетчер кэша — не «слой, через который проходят», а напарник файловой системы; при промахе кэша NTFS шлёт запрос в хранилище.

• Часть 1: общая картина — каждое чтение и запись становится IRP
• Часть 2: синхронный / асинхронный — настоящий смысл OVERLAPPED
• Часть 3: IOCP — подвал async/await
• Часть 4: кэш — когда ваш WriteFile доходит до диска
• Часть 5: NTFS — файловая система через MFT
• Часть 6: фильтры и минифильтры (эта статья) — почему Procmon и антивирусное сканирование могут перехватывать I/O

9. Итог — к финалу серии

Итог последней части.

• Перехват I/O — официальная точка расширения ОС, нынешний стандарт — регистрация обратных вызовов в FltMgr (минифильтр). Порядок однозначно задаёт высота, номера назначает и ведёт Microsoft.²⁴⁵
• Работают через обратные вызовы pre/post. Можно пропустить дальше, отклонить, взять на себя, изменить; присутствуют и на Fast I/O. Procmon, Defender, OneDrive работают на том же механизме.¹¹¹¹⁰
• Исключение = пропуск сканирования, компромисс с защитой. Для томов разработки есть более безопасный вариант — Dev Drive (асинхронное сканирование).⁶⁷
• «Медленно только в этой среде» отделяют по Duration в Procmon и по разнице конфигурации fltmc — инструменты серии сами становятся процедурой расследования.

А вывод всей серии одной строкой такой: подсистема I/O Windows устроена единообразно — назначение выбирается в пространстве имён, запрос становится пакетом (IRP) и идёт между слоями, каждый слой может смотреть, удерживать (pending) или брать обработку на себя. Под одной строкой File.ReadAllText каждый раз работает эта конструкция из шести частей. Вместо того чтобы заучивать поведение API, из этой карты можно вывести: «так и должно быть». Именно эту способность серия и должна была дать. Спасибо, что прошли этот длинный путь.

Похожие статьи

• Глубины ввода-вывода Windows (часть 1) — каждое чтение и запись становится IRP: общая картина системы I/O
• Глубины ввода-вывода Windows (часть 4) — диспетчер кэша: когда ваш WriteFile доходит до диска
• Глубины ввода-вывода Windows (часть 5) — внутреннее устройство NTFS: файловая система через MFT
• Практическое руководство по Process Monitor (ProcMon) — как за 10 минут выяснить, почему «настройки не читаются» или возникает ACCESS DENIED
• Если ваше Windows-приложение приняли за вирус — как реагировать на ложные срабатывания Microsoft Defender и жить с влиянием на производительность
• Практика Process Explorer / Handle / VMMap — зависание, утечка и «файл занят» по состоянию прямо сейчас
• Минимальный чек-лист безопасности Windows-приложения

Смежные области консультирования

KomuraSoft LLC занимается расследованием проблем производительности и сбоев бизнес-приложений Windows, где задействованы фильтры: «медленно только в одной среде», «средство безопасности мешает своему приложению».

• Разработка приложений для Windows
• Расследование сбоев и анализ причин
• Технический консалтинг
• Связаться с нами

Справочные ссылки

Похожие статьи

Недавние статьи с теми же тегами помогут подробнее изучить близкие темы.

Связанные темы

Эти страницы показывают тему статьи в более широком контексте услуг и решений.

Услуги по этой теме

Статья напрямую связана со следующими услугами.

Частые вопросы

Вопросы, которые часто возникают при консультациях по теме статьи.

Чем драйвер фильтра файловой системы отличается от минифильтра?

И то и другое — драйверы, которые перехватывают запросы I/O к файловой системе, но поколения механизма перехвата разные. Устаревший (legacy) фильтр напрямую вставлял свой объект устройства в стек устройств файловой системы: положение зависело от порядка загрузки, его трудно гарантировать, а после загрузки фильтр нельзя было безопасно выгрузить. Нынешний стандарт — минифильтр: в диспетчере фильтров (FltMgr), который входит в состав Windows, регистрируют обратные вызовы вида «вызови меня до и после этой операции». Положение однозначно задаёт число — высота (altitude). Загружать фильтр можно в любой момент, а если реализован обратный вызов выгрузки, его можно снять и на работающей системе. Почти все современные фильтры — антивирус, шифрование, средства наблюдения, облачная синхронизация — сделаны как минифильтры.

Почему антивирус может проверять каждое обращение к файлу?

Потому что ОС официально даёт точку расширения именно для этого. Минифильтр регистрирует в диспетчере фильтров код, который вызывается до операции (обратный вызов pre) и после неё (обратный вызов post) — при открытии, чтении, записи файла и так далее. Антивирусный фильтр стоит в диапазоне высот Anti-Virus (320000–329999) и может, например, сразу после успешного открытия (post-create) просканировать содержимое и при проблеме отменить это открытие, чтобы доступ не удался. Как показано в части 1 серии, каждый файловый I/O идёт по стеку устройств: встать в фиксированной точке на этом пути — и можно проверить каждое обращение. Это не хак, а механизм, заложенный в архитектуру ОС.

Что технически делает исключение антивируса (исключение папки)?

Для I/O по пути, который совпал со списком исключений, фильтр этого продукта пропускает сканирование, которое иначе выполнил бы. Сам фильтр со стека не исчезает; ближе к действительности так: решение «этот путь не проверять» принимается раньше. Важное ограничение: исключение действует только у продукта, в котором его настроили. Например, исключение Microsoft Defender меняет сканирование фильтра Defender (WdFilter) и не влияет на соседние минифильтры — чужой антивирус, EDR, резервное копирование и т. п. Каждому продукту нужно своё исключение; если «добавил исключение, а всё равно медленно», причиной может быть другой фильтр. И как многократно предупреждает документация Microsoft, исключение ослабляет защиту в этом месте, поэтому его держат минимальным и только после оценки риска. Для разработки стоит рассмотреть и Dev Drive (режим производительности, то есть асинхронное сканирование) — более безопасную альтернативу исключениям папок.

Как Process Monitor записывает каждый I/O?

Потому что сам Procmon при запуске регистрируется в диспетчере фильтров как минифильтр диапазона высот Activity Monitor. Если из командной строки с правами администратора выполнить fltmc, пока Procmon запущен, в списке появится фильтр с именем, которое начинается с PROCMON. Как минифильтр он присутствует на pre и post операций I/O всех томов и без пропусков записывает, какой процесс какую операцию над каким файлом сделал. Термины IRP и Fast I/O, которые шли через всю серию, прямо видны в окне Procmon именно потому, что он наблюдает с позиции на самом пути I/O.

Когда сборка на машине разработки медленная, стоит ли подозревать фильтры?

Подозревать очень стоит. Сборка — это масса создания, чтения, записи и удаления мелких файлов, и каждый из них становится объектом проверки фильтров (особенно антивирусного сканирования). На такой нагрузке стоимость фильтров проявляется сильнее всего. Базовый порядок расследования: по столбцу Duration в Procmon понять, на какую операцию уходит время, и сравнить конфигурацию фильтров между средами через fltmc instances. Как мера — исключение после оценки риска, плюс Dev Drive, рассчитанный специально на тома разработки. На Dev Drive антивирус работает в режиме производительности (асинхронное сканирование), и Microsoft ставит это как более безопасную альтернативу исключению.

Об авторе

Страница с профилем автора статьи.

Го Комура

Представитель KomuraSoft LLC

Специализируется на разработке программного обеспечения для Windows, техническом консалтинге и расследовании сбоев, особенно в проектах с унаследованными системами и трудно воспроизводимыми ошибками.