Process Monitor 是微软 Sysinternals 出品的免费高级监视工具，署名作者是 Mark Russinovich，现行版本 4.11 发布于 2026 年 9 月 10 日。它的血统很正：合并了 Filemon 与 Regmon 两个老牌工具的功能，再加了一长串增强。官方对它的定位毫不客气——它独特的功能会让它成为你系统排查与恶意行为分析工具箱里的核心工具。

它能实时显示 Windows 的文件系统、注册表与进程/线程活动，把平时看不见的系统底层动作摊开给你看。

能力清单有多长

官方列出的能力覆盖了排查工具该有的所有细节：过滤器是无损的，设置过滤条件时不会丢数据；每个操作都会捕获线程堆栈，很多情况下能直接定位根本原因；进程详情（映像路径、命令行、用户与会话 ID）的捕获可靠完整；任意事件属性都能配置成列，过滤器也可以设在任意数据字段上——包括没配置为列的字段。

规模上也不虚：日志架构可以扩展到数千万事件、几十亿字节的日志数据；进程树工具能显示一次追踪里所有进程的关系；原生日志格式保留全部数据，可以在另一个实例里重新加载；搜索可以随时取消，还支持开机阶段的全量操作日志记录。悬停提示做了两层——进程提示看映像信息，详情提示看那些放不进列的格式化数据。

实际界面长什么样

官方页给了两张截图：主窗口是典型的事件流视图，每一行是一次文件/注册表操作，带时间戳、进程、操作与结果；事件属性窗口能看到进程映像、命令行、模块加载等完整细节。上手前官方的建议很朴实——先读帮助文件，再在真实系统上把每个菜单项过一遍。

下载与运行环境

下载包约 3.1 MB，可以直接下载，也可以从 Sysinternals Live 免安装直接运行。系统要求写得明确：客户端要 Windows 11 及以上，服务器要 Windows Server 2019 及以上。另外官方还提供 Procmon for Linux 版本，托管在 GitHub。想一次拿全工具的话，Sysinternals Suite 把整套工具打包成一个下载，另有 ARM64 版与微软商店版（安装与更新都走商店）。

Process Monitor 的价值在于「看得见」：注册表被谁改了、文件被谁动了、进程背后的命令行是什么，全都能实时摊开。免费、官方、体积小，配上过滤器和进程树，排查疑难杂症和可疑行为时基本没有替代品。