מעקב אחר הליבה של וונדוס - Kernel
Logman
C:\Windows\System32) שמנהל משורת פקודה את ETW. ההרצאה מראה איך ליצור סשן מעקב, לבדוק אותו, לעצור אותו ולהפוך את התוצאה לטקסט.logman create trace, עם שם משמעותי. בדוגמה המעקב הוא של תהליכי הקרנל (kernel process trace) והתוצאה נשמרת בתיקיית performance logs.logman start <שם> -ets, כאשר ETS הוא Event Tracing Session, כדי שלא יתייחס אליו כאל איסוף ביצועים רגיל.logman query -ets מציג את כל הסשנים הרצים, ו-logman query <שם> -ets מציג סשן ספציפי, עם אותם נתונים כמו בממשק הגרפי.logman stop <שם> -ets. הסשן נעצר ונמחק, והקובץ נשאר, כאן כ-5 מגה.tracefmt ממיר אותו לטקסט, ואם מוסיפים -csv מקבלים פורמט לאקסל. כאן יצאו 57,000 אירועים לקובץ טקסט שנפתח ב-Notepad++.פרקי ההרצאה: מעקב אחר הליבה של וונדוס - Kernel Logman
תמלול ההרצאה: מעקב אחר הליבה של וונדוס - Kernel Logman
הטקסט המלא של הדקות הראשונות בהרצאה «מעקב אחר הליבה של וונדוס - Kernel Logman» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בסרטון זה נכיר את הכלי שנקרא לוגמנט, שהוא מובנה בתוך Windows והוא מנהל לנו מתוך שורת פקודה את ETW. ETW זאת מערכת ניטור, מעקב אחר הקרנל של הווינדוס.
למערכת הזאת יש גם ממשק גרפי, אנחנו יכולים לראות אותו פה. זה כל הסשנים שמתעדים כרגע את מה שקורה בתוך הקרנל של Windows ובתוכנות השונות שרצות שמה.
לדוגמה סיסמון משתמש בזה, Event Viewer של מייקרוסופט משתמש בזה. המערכת הזאת היא של Event Tracing for Windows, מעקב אחרי הווינדוס, זאת המערכת היחידה שיכולה להיכנס לתוך הליבה של מערכת ההפעלה ולקבל משמה אירועים שקורים.
ומי שמנהל את זה בשורת פקודה זה לוגמן. לוגמן זה כלי שמבנה בווינדוס, אנחנו יכולים להיכנס לתיקי ה-C Windows, 32 ולראות שיש לנו פה קובץ logman.exe הוא זה שיודע להוריד פקודות לממשק אז בואו נפתח cnd עם הרשאות של אדמיניסטרטור נראה שיש לנו פה את ה-logman.exe בגודל כזה וכזה ונתחיל ללמוד על הכלי קודם כל אנחנו יכולים לעשות טריס חדש מעקב חדש והפעם נעשה מעקב אחרי הקרנל
אחרי הפרוצסים שרצים בקרנל ואת המעקב שלנו נשמור בתיקייה כזאת וכזאת כרגע יש לנו בתיקייה פה כמה דוגמאות קודמות. עכשיו אנחנו מתחילים עם קרנל. אז אני כותב logman create trace, קורא לתרס הזה practicue performance log.
אפשר לקרוא לזה בכל שם, בואו נעשה לזה שם יותר יפה. practicue kernel process trace. אני אוהב שמות בעלי משמעות. נעשה enter.
ברגע שהתחלנו את ה-trace שלנו, את המעקב שלנו, שימו לב, אנחנו מוגבלים ל-500 מגה בייט שאומרים את זה בצורה בינארית זה אומר שזה לא טקסט קרי אם נעשה רפרש נראה שיש לנו פה פרקטי קיו קרנל פרוצס טרייס זה מה שעשינו איתכם בשורת פקודה היא הורידה פקודה למערכת ואנחנו מסתכלים עכשיו על אותה מערכת בדיוק פשוט דרך ממשק גרפי כולם מסתכלים על אותה נקודה על אותו
API הוא אוסף לנו מידע אפשר להיכנס לפרופרטיז לראות בדיוק מאיזה פרוביידר מאיזה ספק הוא אוסף מידע, האם יש סינון, Keyword זה סינון, אני יכול לסנן לאירועים מסוימים ולא לאסוף את הכל, אני יכול לסנן לפי דרגת חומרה, כרגע יש לנו פה רק Information, אבל עקרונית בספקים אחרים אפשר היה לסנן לפי דרגת חומרה,
יש פה עוד פילטרים שאפשר לעשות, הוא שומר הכל בפייל, הוא לא משדר את זה ב-real time, אפשר גם וגם, גם לשדר את הנתונים ב-real time למישהו שמעוניין להסתכל עליהם, כמו שראינו תוכנת רייסוויו עושה את זה, ראינו את זה בסרטונים קודמים, או לקובץ שיאסוף נתונים, אפשר גם וגם.
דרך אגב, איפה הקובץ? הקובץ נמצא פה בפייל, הנה אנחנו רואים את הקובץ. דרך אגב, יכלנו גם להגיד לו סירקולר לוגינג. מה זה אומר? כשנגמרים לי 500 מגה-בייט של נתונים,