Il trio diagnostico: Process Explorer, Process Monitor, Autoruns
Process Explorer è Gestione attività con la vista a raggi X: mostra l'albero dei processi, le DLL caricate da ciascuno, i servizi che abitano dentro ogni svchost e cento colonne di dettagli. Il colpo da maestro è Find Handle (Find → Find Handle or DLL): digiti il nome di un file ostinato e ti dice il processo esatto che lo tiene aperto — la risposta a ogni errore «il file è in uso in un altro programma». Sa anche spedire ogni binario in esecuzione su VirusTotal (Options → VirusTotal.com → Check) e mostrare i verdetti in una colonna. Quella sola funzione chiude metà dei panici «che processo è mai questo» su una macchina sana. Tienilo come Gestione attività predefinita (Options → Replace Task Manager) e la maggior parte dei misteri smette di esserlo.
Process Monitor registra ogni evento file, registro e rete sulla macchina — migliaia di righe al secondo — quindi l'abilità non è registrare, è filtrare. Metti un filtro «Result è ACCESS DENIED» oppure «Path begins with» sul file che ti interessa, e il rumore collassa in una risposta. Può anche tracciare un intero avvio (Options → Enable Boot Logging) per catturare ciò che accade prima ancora che tu faccia l'accesso. Autoruns è la terza gamba: enumera ogni posizione di autostart — elementi di accesso, servizi, attività pianificate, estensioni shell, codec — con colonne di editore e firma digitale, così ciò che parte con Windows e di cui la scheda avvio di Gestione attività non ha mai sentito parlare non trova dove nascondersi.
- «Il file è aperto in un altro programma» — Process Explorer: Find → Find Handle, digita il nome del file
- «Che processo sconosciuto è mai questo?» — la colonna VirusTotal di Process Explorer più le schede DLLs e Services
- «Chi continua a toccare questo file o questa impostazione?» — Process Monitor con un filtro su quel preciso percorso
- «Qualcosa parte con Windows che la lista di avvio non mostra mai» — Autoruns, con le voci Microsoft nascoste
- «Con chi sta parlando il mio PC in questo momento?» — TCPView, un'occhiata per connessione
Il cast di supporto: dump, socket, cartelle, firme
ProcDump tiene d'occhio un processo e scrive un dump di memoria nell'esatto momento in cui quello sbaglia — procdump -c 90 app.exe cattura l'istante in cui la CPU supera il 90%, senza uccidere nulla. TCPView è netstat con una faccia: ogni connessione e porta in ascolto, per processo, aggiornata dal vivo. Disk Usage (du.exe) stampa le dimensioni delle cartelle da console — du -l 2 C:\Users scende due livelli — e chiude le discussioni «dov'è finito lo spazio» in pochi secondi. sigcheck verifica firme, versioni e hash (sigcheck -h file.exe), il che risponde a «questo file è davvero ciò che dichiara di essere» senza eseguirlo. Strings estrae testo leggibile da qualsiasi binario — URL, percorsi, indizi — il modo onesto di sbirciare dentro qualcosa di sospetto.
Gli ultimi due risolvono misteri più piccoli che altrimenti si mangerebbero una serata. MoveFile pianifica l'eliminazione di un file bloccato al prossimo riavvio (movefile "C:\path\stubborn.dll" ""), rimuovendo file che nemmeno Process Explorer riesce a sbloccare pulitamente. BgInfo stampa hostname, indirizzo IP, ora di avvio e memoria direttamente sullo sfondo — cosa che suona banale finché non fai supporto per telefono a tre computer di famiglia e smetti di chiedere «ma con quale computer sto parlando».
Come usare la suite senza rompere niente
Tutto è gratuito dal sito Sysinternals di Microsoft, e ogni strumento gira senza installazione — o direttamente da \\live.sysinternals.com\tools se vuoi sempre l'ultima build. La maggior parte degli strumenti accetta /accepteula da riga di comando, così il primo avvio resta silenzioso. Tienili in una cartella, aggiungila al PATH ed eseguili come amministratore quando il mistero riguarda i processi di sistema. La regola d'oro: questi strumenti guardano, non cambiano — le uniche modifiche sono quelle che fai tu esplicitamente, come terminare un handle o disattivare una voce di Autoruns. Prima guarda, poi capisci, poi agisci — e Windows smette di avere segreti.
Domande e risposte
Gli strumenti Sysinternals sono sicuri da usare?
Sì — Microsoft li distribuisce e li mantiene da quasi tre decenni. Sono firmati, gratuiti e in sola lettura finché non sei tu a cambiare qualcosa, deliberatamente.
Quale strumento Sysinternals mostra tutto ciò che parte con Windows?
Autoruns. Elenca ogni posizione di autostart — elementi di accesso, servizi, attività pianificate, estensioni shell — molto oltre ciò che mostra la scheda avvio di Gestione attività.
Scopri cosa include la licenza prima dell'acquisto.
La prova singola di 30 minuti include gli strumenti essenziali. Le funzioni PRO restano bloccate finché non attivi una licenza a pagamento.
Da leggere dopo
Scrivici: [email protected]