Por que o monitor de processo está ocupando 2+ GB de memória física?

Question

Estou tentando localizar um processo invasor que está bloqueando um arquivo em um diretório específico que está impedindo que um log seja anexado. Esse bloqueio ocorre de uma a três vezes por semana, portanto, é desnecessário dizer que quero que o ProcMon seja executado por um longo tempo sem supervisão.

Infelizmente, uma vez por hora, o ProcMon começará a aumentar constantemente seu uso de memória, passando de 2 gb. Neste ponto eu faço um "Clear Display" e a memória usada volta para ~ 200 mb.

Eu tenho "Drop Filtered Events" ativado.
Eu tenho um arquivo de apoio definido para um arquivo na minha área de trabalho (que curiosamente nunca muda de 4MB). Eu tenho o conjunto de filtragem para que ele inclua apenas os processos que atingem esse diretório.
Eu também excluo os 3 processos que devem estar acessando esse diretório.

Como observação, ao entrar no diálogo "Process Monitor Backing Files", isso é exibido:

Carga de ProcMon: 100,0% @ p-1717994043 (2.210.277.644 ...

    

Answer 1

Gere eventos filtrados apenas os filtra ... Eles ainda são coletados ...

... No entanto, 2 GB é muito, na minha máquina, leva cerca de 5MB de memória. Tem certeza de que está analisando a estatística correta?

O Process Monitor coleta um monte de informações a cada segundo e armazena muitos dados no arquivo de paginação ... se estiver baixo, pode estar usando a sua memória.

Infelizmente, não acho que haja nada que você possa fazer sobre isso além de aumentar o tamanho do seu arquivo de paginação.

    

Answer 2

Para reduzir o uso de memória para capturas longas, há uma maneira de informar ao ProcMon para armazenar seus dados capturados em um arquivo em vez de na memória virtual.

Basta usar a opção "Arquivo - > Backup de arquivos ..." e alterar o (s) arquivo (s) de apoio de "Usar memória virtual" para "Usar arquivo nomeado" e especificar um arquivo em um disco rápido com bastante armazenamento livre.

O ProcMon gravará dados de captura no arquivo especificado, em vez de armazenar em buffer na memória virtual.

    

Answer 3

1,6 GB / 24,9 GB não é muito.

Quando uso o Sysinternals Process Monitor para monitorar todas as atividades de IO ao instalar um programa grande e deixo todos os filtros fora, então tudo é capturado, RAM & o uso do arquivo de paginação passa pelo telhado depois de algum tempo.

Por exemplo, estou fazendo com que ele monitore a instalação do imenso programa que é o Visual Studio Community 2015. Ele está funcionando há cerca de uma hora e meu arquivo de paginação é de 47,8 GB usado em 55,6 GB de tamanho de arquivo de paginação. Felizmente eu tenho um SSD para que o sistema ainda seja utilizável, embora muito lento.

Quando vou para o painel de 'detalhes' do Gerenciador de Tarefas (Windows 8+), para o procmon64.exe ele mostra o Conjunto de trabalho (memória) pairando entre 60-90MB. Tamanho de confirmação é de cerca de 375MB. Então, o Gerenciador de Tarefas não mostra o uso de arquivo de página enorme procmon64.exe está usando, interessante.

Após algum tempo, quando a instalação estava finalmente terminando muitas horas depois (graças ao constante paginação de arquivo para / do SSD, e o instalador do VS 2015 é muito ineficiente), o conjunto de trabalho (memória) do procmon64.exe era ~ 700MB e Tamanho do Commit foi 821MB. No separador 'Desempenho' - > 'Memória' 'Comprometida'; 73.4GB / 89.5GB, meu SSD estava ficando sem espaço com um arquivo de paginação de 90GB! O Procmon64.exe registrou um pouco mais de 120 milhões de eventos. O arquivo .pml salvo estava em 62 GB, embora 7z comprimido para 3 GB.

Este programa pode realmente ocupar espaço no arquivo de paginação, tenha cuidado. Algumas fotos. link