文件翻译002片：Process Monitor帮助文档（Part 2）

【筛选亮点】

Process Monitor提供了一些方式来配置筛选器和高亮显示。

筛选器的包括与排除

您能够在筛选器中指定事件的属性，这样就能够令Process Monitor仅显示或排除与您所指定的属性值相匹配的事件。全部的筛选器都是无损检測。也就是说这仅会对Process Monitor显示事件的方式产生影响，而不会影响潜在的事件数据。

当您选取了一项事件后，在“事件（Event）”菜单的“包括（Include）”与“排除（Exclude）”子菜单中就能够非常easy地加入事件的当中一项属性到筛选器的包括与排除配置中。举例来说，假设仅仅想显示某个指定名称的进程所生成的事件，能够选择“包括（Include）”子菜单中的进程名称。您也能够选择多项事件，而且为这些选定的事件中所包括的全部特别的值同一时候配置一个属性的筛选器。Process Monitor的“或”操作能够将全部相关的特定属性类型的筛选器集合在一起，而“与”操作则将全部不同属性类型的筛选器集合在一起。举例来说，假设您在筛选器中指定进程的名称为Notepad.exe和Cmd.exe。而且在筛选器中包括了一个名为C:Windows的路径。那么Process Monitor只只会显示源自指定路径即C:Windows文件夹中的Notepad.exe或Cmd.exe的事件。

图15 “包括（Include）”与“排除（Exclude）”子菜单

在筛选器对话框中也有很多其它复杂的可使用的筛选选项，您能够通过选择“筛选器（Filter）”菜单中的“筛选器（Filter）”菜单项或者点击工具栏上的筛选器button来打开筛选器对话框。筛选器条目由一个属性域（如认证ID，进程名称等）、一个比較操作符、一项属性值以及筛选类别（包括或排除）所组成。为了方便起见，在当前载入的跟踪数据中。Process Monitor会自己主动在下拉列表中列出在已载入的追踪数据中出现的属性值，可是您也能够输入随意值。

复选框能够使您非常easy地禁用指定的筛选器条目，而不须要删除它们。

图16 Process Monitor筛选器对话框

上下文菜单筛选

假设您在Process Monitor中用鼠标右键点击一个条目，则会显示一个上下文菜单，您就行查看该条目的属性或配置一个基于该条目属性的筛选器。更进一步。高速筛选项可以根据您所点击的列的值，被加入到菜单中。

图17 上下文菜单筛选

破坏性的筛选

在默认情况下。Process Monitor适用于数据显示，并不会保存某些项。这能够使您改变筛选器从而获取不同的方式来显示数据，而不会对已经排除的数据造成影响。然而，您能够配置Process Monitor来删除一些数据，也就是利用筛选器通过切换到破坏性筛选方式，来排除当前捕获的一些数据，您能够通过选择“筛选器（Filter）”菜单中的“排除筛选掉的事件（Drop Filtered Events）”来实现。

图18 破坏性筛选

包括来自窗体的进程

工具栏中包括了一个形状如同一个靶子的button。您能够把它拖放到一个窗体中，这样您就能够将该窗体所拥有的进程的进程ID加入到Process Monitor 的“包括（Include）”筛选器中。

图19 “从窗体中包括进程”button

基本模式与高级模式的对照

“筛选器（Filter）”菜单的“同意高级输出（Enable Advanced Output）”菜单项可以控制Process Monitor是执行在基本模式还是高级模式下。

当在基本模式下时，Process Monitor可以在显示中配置内置的筛选器来排除与系统相关的活动，并为内部文件系统操作选取直观的名称。举例来说，当在基本模式下的时候，Process Monitor将内部的IRP_MJ_READ操作作为“读取（Read）”操作来看待。基本模式使得输出内容阅读起来十分方便，省略了应用故障中的不相关的事件。

图20 同意高级输出

筛选器的存储与读取

一旦您配置完毕了一个筛选器。您能够选择“筛选器（Filter）”菜单中的“保存筛选器（Save Filters）”菜单项进行保存。

Process Monitor为了便于您下次的使用，它会将您保存的筛选配置保存到“读取筛选器（Load Filter）”菜单，而且您还能够选择“筛选器（Filter）”菜单中的“管理筛选器（Organize Filter）”来打开管理筛选器对话框，从而改变筛选器在菜单中的显示顺序。您能够使用管理筛选器对话框来重命名已经保存的筛选器，还能够非常方便地以一定的格式来输出筛选器，这样以后您就能够在其他系统上利用管理筛选器对话框进行筛选器的导入了。

图21 管理筛选器对话框

高亮显示

ProcessMonitor的高亮显示筛选器可以使您指定事件的属性。从而令一个事件以高亮的颜色进行显示。“事件（Event）”菜单中的“高亮显示（Highlight）”子菜单可以使您高速訪问已定义高亮显示的筛选器条目，而且“事件（Event）”菜单中的“高亮显示（Highlight）”菜单栏目也可以打开高亮显示筛选对话框，其操作与包括/排除筛选对话框相似。您可以通过点击高亮显示筛选对话框中的“加入筛选器（Add Filter）”button。从而将高亮显示筛选器转化为包括筛选器。