Process Monitor(procmon.exe)

ファイルI/O・レジストリ・プロセス/スレッド活動をリアルタイムに監視できるSysinternalsのツール。Advanced Outputを有効にすると、IRPやファストI/Oのカーネル側の語彙で操作を表示する。

概念URI

https://comcomponent.com/knowledge/procmon/

別名・表記

Procmon / Process Monitor

下位概念

NAME NOT FOUND(Result値) / ACCESS DENIED(Result値) / SHARING VIOLATION(Result値) / BUFFER OVERFLOW(Result値)

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• 構成要素の棚卸しはProcess Monitor(procmon.exe)を利用します。設定ファイルや出力先の場所が分からない場合は、Process Monitorでファイル・レジストリアクセスを観測するのが早道になる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 仕様の復元はProcess Monitor(procmon.exe)を利用します。実挙動の観測(ファイル・レジストリ・ネットワークのアクセス)にProcess Monitorを使い、入出力の対応関係をソースコードなしで裏付ける / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• NTFSはProcess Monitor(procmon.exe)で確認できます。Procmonで$LogFileへの書き込み、ストリーム名付きのパス、リパース処理などNTFSの内部動作をリアルタイムに観察できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• NTLM/OperationalログはProcess Monitor(procmon.exe)で確認できます。SMB経由の通信はPIDが常に4(SYSTEM)になるため、相手サーバーのコンピューター名とIPアドレスでパスをフィルターしたProcess Monitorと、サーバー側イベント8003のタイムスタンプを突き合わせて呼び出し元プロセスを特定する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• ActiveX動作失敗はProcess Monitor(procmon.exe)で確認できます。Procmonで再現時のログを取り、NAME NOT FOUNDなどでフィルタリングすると、どのDLLやレジストリキーが見つからなかったか確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)は環境依存の不具合調査に対する本記事の推奨です。環境依存の不具合調査で最初にやるべきことは、コードを読むことではなく、ProcMonで実際に何が起きたかの記録を取ることである / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はProcMonのフィルタ(2段階絞り込み)を利用します。ProcMonは絞り込んでから読むツールで、まずProcess Nameで対象プロセスに絞り、次にResultで異常系に絞る2段階フィルタが定石になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はPMLファイル(Process Monitor Log形式)を利用します。ProcMonのログはPMLファイルとして保存すれば、別のマシンでも全カラム・全詳細を確認できるため、顧客環境で採取して自社で解析する分業が成立する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はブートタイムロギング(Enable Boot Logging)を利用します。サービスがログオン前に失敗するなど、ProcMonを手動起動するより前に起きる問題にはEnable Boot Loggingでブート初期からのイベントを記録する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はNAME NOT FOUND(Result値)を利用します。ProcMonのResult列にはNAME NOT FOUNDのような値が表示され、探索順の途中経過か本当に見つからないのかを連なりで判断する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はACCESS DENIED(Result値)を利用します。ProcMonのResult列にはACCESS DENIEDが表示され、原因の可能性が高い結果として調査の起点になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はSHARING VIOLATION(Result値)を利用します。ProcMonのResult列にはSHARING VIOLATIONが表示され、時系列で前後の行を見ることでファイルを掴んでいる相手を特定できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はBUFFER OVERFLOW(Result値)を利用します。ProcMonのResult列にはBUFFER OVERFLOWのような一見異常に見えるが実際は正常なAPIの往復を示す値も表示される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• VirtualStoreへの仮想化はProcess Monitor(procmon.exe)で確認できます。Program Files配下への書き込みがVirtualStoreへ仮想化されているかどうかは、ProcMonのPath列に出る実際の読み書き先を見れば分かる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• WOW64リダイレクトはProcess Monitor(procmon.exe)で確認できます。32bitプロセスがWOW64のリダイレクトを受けて意図と違う場所を見ている場合も、ProcMonのPathに実際のアクセス先が出るため確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)は管理者権限を前提とします。ProcMonはカーネルドライバーを読み込むため、起動には管理者権限(UACの昇格)が必要になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をパケットキャプチャによる通信調査に用いることは推奨されません。ProcMonはTCP/UDPの接続イベントは記録するがパケットの中身までは見えないため、プロトコルレベルの調査に用いるのは推奨されない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をPerfView / dotnet-traceに用いることは推奨されません。CPUをどこで使っているかの本格的なプロファイリングにProcMonを用いるのは推奨されず、PerfViewやdotnet-traceの領分になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をWinDbgに用いることは推奨されません。クラッシュ・ハングの瞬間のメモリとスタックの解析にProcMonを用いるのは推奨されず、WinDbg+ダンプの領分になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)をApplication Verifierに用いることは推奨されません。ヒープ破壊やハンドルの二重解放などAPIの誤用の検出にProcMonを用いるのは推奨されず、Application Verifierの領分になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• ファストI/OはProcess Monitor(procmon.exe)で確認できます。ProcmonのOperation列にFASTIO_*とIRP_MJ_*が混在することで、要求がファストI/O経路と通常のIRP経路のどちらを通ったかを観察できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• DLLの検索順序はProcess Monitor(procmon.exe)で確認できます。実際にどのフォルダからDLLが読まれたかは、Process MonitorのResult列(NAME NOT FOUND/SUCCESS)を追うことで確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• IRP(I/O要求パケット)はProcess Monitor(procmon.exe)で確認できます。Process MonitorのAdvanced Outputを有効にすると、Operation列がIRP_MJ_READなどIRPのメジャーファンクションコードの語彙で表示される / 確度: 確立した関係 / 確認日: 2026-08-01 出典 出典
• ファストI/OはProcess Monitor(procmon.exe)で確認できます。Process MonitorのOperation列でFASTIO_で始まる行として、IRPを経由しない読み書きを観察できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典 出典
• Process Monitor(procmon.exe)はミニフィルターを利用します。Process Monitorは、起動時にActivity Monitor帯のミニフィルターとして自分自身をFltMgrに登録することで、ファイルシステムの活動をリアルタイムに監視する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process Monitor(procmon.exe)はpre/postコールバックを利用します。Procmonはミニフィルターとして全ボリュームのI/O操作のpre/postコールバックに立ち会うことで、どのプロセスがどのファイルに何をしたかを漏れなく記録する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• レジストリリダイレクターはProcess Monitor(procmon.exe)で確認できます。32bitプロセスが実際にどの物理パスへリダイレクトされたかは、ProcmonのPathカラムで確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• UACレジストリ仮想化はProcess Monitor(procmon.exe)で確認できます。UACレジストリ仮想化が発動したかどうかは、Procmon上で書き込みがVirtualStore配下へ流れているかを見て観測できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 0x80040154(Class not registered)はProcess Monitor(procmon.exe)で確認できます。0x80040154の原因となるCLSIDオープン失敗がどちらのビューで起きているかは、Procmonでの観測により追跡できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

• ソースコードも仕様書もないシステムを引き継いだら ── 止めずに運用・保守するための実務手順(言及)
• Windows I/Oの深層(第5回) ── NTFSの内部構造:MFTから理解するファイルシステム(言及)
• NTLM廃止で業務アプリは止まるか ── 監査ログの取り方と、依存を潰す順番(言及)
• Office 2024/Microsoft 365でActiveXが動かない原因と確認手順(言及)
• Process Monitor(ProcMon)実践ガイド ── 「設定が読まれない」「ACCESS DENIED」を10分で特定する(主要トピック)
• Windows I/Oの深層(第4回) ── キャッシュマネージャー:あなたのWriteFileはいつディスクに届くのか(言及)
• Windows DLL名前解決の仕組み - 検索順序とSxS(言及)
• Windows I/Oの深層(第1回) ── すべての読み書きはIRPになる:I/Oシステムの全体像(言及)
• Windows I/Oの深層(第6回・最終回) ── フィルタードライバーとミニフィルター:ProcmonとウイルススキャンがI/Oに割り込める理由(言及)
• レジストリの32bit/64bitリダイレクトと仮想化の落とし穴 ── Wow6432Nodeと「書いたはずの値がない」問題(言及)

一次資料

• https://learn.microsoft.com/sysinternals/downloads/procmon

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。