مخاطب هدف

کاربران حرفه ای ویندوز، برنامه نویسان، مدیران سیستم، کارشناسان پشتیبانی فنی، متخصصان امنیت سایبری، تحلیلگران فناوری اطلاعات و کاربرانی که با مصرف غیرعادی CPU، RAM یا کندی ویندوز 11 مواجه هستند.

آموزش کنترل مصرف سخت افزار ویندوز با هوش مصنوعی و PowerShell

افزایش مصرف CPU، اشغال غیرعادی حافظه RAM، فعالیت مداوم دیسک، داغ شدن سیستم و کاهش سرعت ویندوز همیشه به معنای خرابی سخت افزار یا آلودگی بدافزاری نیست. در بسیاری از سیستم ها، یک سرویس جانبی، نرم افزار مدیریت نمایشگر، ابزار به روز رسانی، موتور جستجوی ویندوز، برنامه Startup یا یک Scheduled Task می تواند بدون جلب توجه کاربر، منابع سخت افزاری قابل توجهی مصرف کند.

مشکل اصلی این است که Task Manager تنها بخشی از واقعیت را نشان می دهد. این ابزار برای مشاهده سریع وضعیت سیستم مناسب است، اما برای تحلیل فنی باید ارتباط میان پردازش یا Process، سرویس یا Service، مسیر فایل اجرایی، شرکت سازنده، زمان شروع، میزان مصرف تجمعی CPU، حافظه فیزیکی، وظایف زمان بندی شده و برنامه های Startup بررسی شود.

هوش مصنوعی در این فرایند جایگزین ابزارهای مانیتورینگ نیست. نقش آن، تحلیل ساختاریافته داده هایی است که از سیستم استخراج شده اند. هنگامی که اطلاعات دقیق به شکل CSV یا گزارش متنی در اختیار یک سامانه هوش مصنوعی قرار گیرد، می توان پردازش های پرمصرف را اولویت بندی کرد، سرویس های غیرضروری را از اجزای اصلی ویندوز تفکیک کرد و برای هر مورد یک مسیر بررسی کم خطر پیشنهاد داد.

این مقاله یک روش عملی و قابل تکرار ارائه می دهد که با استفاده از PowerShell، اطلاعات مهم ویندوز 11 را جمع آوری می کند و سپس آن داده ها را برای تحلیل تخصصی در اختیار هوش مصنوعی قرار می دهد.

چرا Task Manager برای تحلیل کامل مصرف سخت افزار کافی نیست؟

Task Manager وضعیت فعلی پردازش ها را نمایش می دهد، اما مصرف لحظه ای همیشه برای تشخیص علت مشکل کافی نیست. ممکن است یک پردازش هر چند دقیقه یک بار برای مدت کوتاهی CPU را درگیر کند و هنگام باز کردن Task Manager آرام شده باشد. همچنین بسیاری از سرویس های ویندوز داخل پردازش های مشترکی مانند svchost.exe اجرا می شوند و مشاهده نام پردازش به تنهایی مشخص نمی کند کدام سرویس در حال فعالیت است.

برای یک تحلیل حرفه ای باید حداقل پنج لایه بررسی شوند:

1. پردازش های فعال یا Running Processes
2. سرویس های نصب شده و در حال اجرا
3. برنامه های اجراشونده هنگام ورود کاربر یا Startup Commands
4. وظایف زمان بندی شده یا Scheduled Tasks
5. مصرف سخت افزار در یک بازه زمانی مشخص

دستور Get-Process تمام پردازش های فعال سیستم محلی را برمی گرداند. ویژگی WorkingSet64 مقدار حافظه فیزیکی اختصاص یافته به پردازش را نشان می دهد و زمان پردازنده باید به عنوان زمان تجمعی استفاده از CPU تفسیر شود، نه درصد مصرف لحظه ای.

کلاس Win32_Service نیز اطلاعات سرویس های ویندوز، از جمله وضعیت، نوع شروع، حساب اجرا، شناسه پردازش و مسیر فایل اجرایی را در اختیار PowerShell قرار می دهد.

معماری روش تحلیل مصرف سخت افزار با هوش مصنوعی

این روش از یک معماری چهار مرحله ای استفاده می کند:

مرحله اول: جمع آوری داده Data Collection

PowerShell اطلاعات پردازش ها، سرویس ها، Startupها، Scheduled Taskها و مشخصات سیستم را استخراج می کند.

مرحله دوم: ساخت گزارش ساختاریافته

اطلاعات به فایل های CSV تبدیل می شوند. فرمت CSV برای مرتب سازی، فیلتر کردن، مقایسه و تحلیل ماشینی مناسب است. دستور Export-Csv هر شی PowerShell را به یک ردیف شامل ویژگی های انتخاب شده تبدیل می کند.

مرحله سوم: نمونه برداری از مصرف زنده

مصرف تجمعی CPU با مصرف واقعی در یک بازه 60 ثانیه ای مقایسه می شود. این مرحله مشخص می کند کدام پردازش در زمان بررسی واقعا فعال بوده است.

مرحله چهارم: تحلیل توسط هوش مصنوعی

هوش مصنوعی داده ها را بر اساس نام پردازش، مسیر اجرا، شرکت سازنده، میزان مصرف، سرویس مرتبط، زمان شروع و رفتار سیستم طبقه بندی می کند. نتیجه باید به عنوان یک تحلیل اولیه در نظر گرفته شود و پیش از توقف یا حذف هر سرویس، اعتبار فایل و وابستگی های آن بررسی شود.

پیش نیازها و نکات امنیتی

PowerShell یا Windows Terminal را با گزینه Run as administrator اجرا کنید. دسترسی Administrator باعث می شود مسیر و اطلاعات تعداد بیشتری از پردازش ها و سرویس های محافظت شده قابل مشاهده باشد.

گزارش تولیدشده ممکن است شامل موارد زیر باشد:

• نام کاربری ویندوز
• نام کامپیوتر
• مسیر پوشه های شخصی
• نام نرم افزارهای نصب شده
• مشخصات شبکه
• نام دامنه یا Workgroup
• مسیر فایل های اجرایی

پیش از انتشار عمومی فایل گزارش، اطلاعات شخصی را حذف کنید. ارسال گزارش برای یک متخصص قابل اعتماد با انتشار آن در انجمن عمومی تفاوت دارد.

استخراج کامل پردازش ها و سرویس های ویندوز 11

اسکریپت زیر یک پوشه تشخیصی روی Desktop ایجاد می کند و اطلاعات سیستم را در چند فایل مجزا ذخیره می کند. در پایان، همه فایل ها داخل یک آرشیو ZIP قرار می گیرند.

# -------------------------------------------------------------------
# Programmer       : Ebrahim Shafiei (EbraSha)
# Email            : [email protected]
# -------------------------------------------------------------------

$Desktop = [Environment]::GetFolderPath("Desktop")
$OutputDirectory = Join-Path $Desktop "Windows-Diagnostics"
$ArchivePath = Join-Path $Desktop "Windows-Diagnostics.zip"

Remove-Item -Path $OutputDirectory -Recurse -Force -ErrorAction SilentlyContinue
Remove-Item -Path $ArchivePath -Force -ErrorAction SilentlyContinue

New-Item -ItemType Directory -Force -Path $OutputDirectory | Out-Null

$Processes = Get-Process | ForEach-Object {
    $Process = $_

    try {
        $StartTime = $Process.StartTime
    }
    catch {
        $StartTime = $null
    }

    try {
        $Path = $Process.MainModule.FileName
        $FileInfo = $Process.MainModule.FileVersionInfo
        $Company = $FileInfo.CompanyName
        $Description = $FileInfo.FileDescription
        $Version = $FileInfo.FileVersion
    }
    catch {
        $Path = $null
        $Company = $null
        $Description = $null
        $Version = $null
    }

    try {
        $ThreadCount = $Process.Threads.Count
    }
    catch {
        $ThreadCount = $null
    }

    [PSCustomObject]@{
        Name           = $Process.ProcessName
        PID            = $Process.Id
        CPU_Seconds    = $Process.CPU
        RAM_MB         = [math]::Round($Process.WorkingSet64 / 1MB, 2)
        Private_RAM_MB = [math]::Round($Process.PrivateMemorySize64 / 1MB, 2)
        Threads        = $ThreadCount
        Handles        = $Process.HandleCount
        StartTime      = $StartTime
        Path           = $Path
        Company        = $Company
        Description    = $Description
        Version        = $Version
    }
}

$Processes |
    Sort-Object CPU_Seconds -Descending |
    Export-Csv `
        -Path (Join-Path $OutputDirectory "Processes.csv") `
        -NoTypeInformation `
        -Encoding UTF8

Get-CimInstance Win32_Service |
    Select-Object Name, DisplayName, State, StartMode, StartName, ProcessId, PathName, Description |
    Sort-Object State, Name |
    Export-Csv `
        -Path (Join-Path $OutputDirectory "Services.csv") `
        -NoTypeInformation `
        -Encoding UTF8

Get-CimInstance Win32_StartupCommand |
    Select-Object Name, Command, Location, User |
    Export-Csv `
        -Path (Join-Path $OutputDirectory "Startup.csv") `
        -NoTypeInformation `
        -Encoding UTF8

Get-ScheduledTask |
    Select-Object TaskName, TaskPath, State, Author, Description |
    Export-Csv `
        -Path (Join-Path $OutputDirectory "ScheduledTasks.csv") `
        -NoTypeInformation `
        -Encoding UTF8

tasklist /svc /fo csv |
    Out-File `
        -FilePath (Join-Path $OutputDirectory "Process-Service-Mapping.csv") `
        -Encoding UTF8

systeminfo |
    Out-File `
        -FilePath (Join-Path $OutputDirectory "SystemInfo.txt") `
        -Encoding UTF8

Compress-Archive `
    -Path "$OutputDirectory\*" `
    -DestinationPath $ArchivePath `
    -Force

Write-Host ""
Write-Host "Created successfully:"
Write-Host $ArchivePath

دستور tasklist فهرست پردازش های فعال را نمایش می دهد و پارامتر /svc سرویس های مرتبط با هر پردازش را مشخص می کند. این دستور در ویندوز 11 پشتیبانی می شود.

کلاس Win32_StartupCommand فرمان هایی را نمایش می دهد که هنگام ورود کاربر به سیستم به صورت خودکار اجرا می شوند. دستور Get-ScheduledTask نیز تعریف وظایف ثبت شده در Task Scheduler را دریافت می کند.

در پایان، Compress-Archive فایل های گزارش را به یک آرشیو ZIP تبدیل می کند تا انتقال و بررسی آنها ساده تر شود.

هر فایل گزارش چه اطلاعاتی دارد؟

فایل Processes.csv

این فایل مهم ترین منبع تحلیل است و شامل مشخصات زیر است:

• Name: نام پردازش
• PID: شناسه پردازش
• CPU_Seconds: زمان تجمعی استفاده از پردازنده
• RAM_MB: حافظه فیزیکی فعال
• Private_RAM_MB: حافظه خصوصی پردازش
• Threads: تعداد Threadها
• Handles: تعداد Handleهای باز
• StartTime: زمان شروع پردازش
• Path: مسیر فایل اجرایی
• Company: شرکت سازنده
• Description: توضیح فایل
• Version: نسخه فایل اجرایی

مقدار بالای CPU_Seconds به تنهایی اثبات نمی کند که پردازش اکنون CPU زیادی مصرف می کند. برای مثال، پردازشی که چند روز فعال بوده ممکن است زمان تجمعی بالایی داشته باشد، اما در لحظه بررسی تقریبا غیرفعال باشد.

فایل Services.csv

این فایل مشخص می کند هر سرویس در چه وضعیتی قرار دارد، چگونه اجرا می شود و فایل اجرایی آن کجاست. مهم ترین ستون ها State، StartMode، ProcessId و PathName هستند.

سرویسی با حالت Automatic در هر راه اندازی ویندوز اجرا می شود. با این حال، خودکار بودن یک سرویس به معنای غیرضروری یا مشکوک بودن آن نیست. بسیاری از اجزای حیاتی ویندوز و درایورها به همین روش اجرا می شوند.

فایل Startup.csv

این فایل برنامه هایی را نشان می دهد که هنگام ورود کاربر اجرا می شوند. ابزارهای پیام رسان، نرم افزارهای مدیریت سخت افزار، Launchers، ابزارهای همگام سازی و Updaterها معمولا در این بخش دیده می شوند.

فایل ScheduledTasks.csv

بدافزارها می توانند از Scheduled Task برای ماندگاری یا Persistence استفاده کنند، اما وجود یک Task ناشناس لزوما نشانه آلودگی نیست. مرورگرها، نرم افزارهای امنیتی، ابزارهای توسعه و برنامه های به روز رسانی نیز از Task Scheduler استفاده می کنند.

فایل Process-Service-Mapping.csv

این فایل ارتباط میان PID و سرویس را نشان می دهد. کاربرد اصلی آن زمانی است که چند سرویس داخل یک svchost.exe اجرا می شوند و باید مشخص شود کدام سرویس به آن PID تعلق دارد.

اندازه گیری مصرف واقعی CPU در یک بازه 60 ثانیه ای

برای تشخیص پردازشی که در حال حاضر منابع پردازنده را مصرف می کند، باید دو نمونه از زمان CPU گرفته و اختلاف آنها محاسبه شود.

# ________________________________________
# Programmer : Ebrahim Shafiei (EbraSha)
# Email : [email protected]

$DurationSeconds = 60
$LogicalProcessors = [Environment]::ProcessorCount
$Desktop = [Environment]::GetFolderPath("Desktop")
$OutputPath = Join-Path $Desktop "Live-CPU-60s.csv"

$Before = Get-Process | Select-Object Id, ProcessName, CPU

Start-Sleep -Seconds $DurationSeconds

$After = Get-Process

$Results = foreach ($Process in $After) {
    $PreviousProcess = $Before | Where-Object Id -eq $Process.Id

    if (
        $PreviousProcess -and
        $null -ne $Process.CPU -and
        $null -ne $PreviousProcess.CPU
    ) {
        $CpuDelta = $Process.CPU - $PreviousProcess.CPU
        $CpuPercent = ($CpuDelta / $DurationSeconds / $LogicalProcessors) * 100

        [PSCustomObject]@{
            Name        = $Process.ProcessName
            PID         = $Process.Id
            CPU_Percent = [math]::Round($CpuPercent, 2)
            CPU_Seconds = [math]::Round($CpuDelta, 2)
            RAM_MB      = [math]::Round($Process.WorkingSet64 / 1MB, 2)
            Path        = try { $Process.MainModule.FileName } catch { $null }
        }
    }
}

$Results |
    Sort-Object CPU_Percent -Descending |
    Export-Csv $OutputPath -NoTypeInformation -Encoding UTF8

Write-Host "Created: $OutputPath"

این اسکریپت مقدار CPU هر پردازش را پیش و پس از 60 ثانیه ثبت می کند. سپس اختلاف زمان پردازنده را بر مدت نمونه برداری و تعداد پردازنده های منطقی تقسیم می کند. نتیجه، درصد تقریبی استفاده از کل ظرفیت CPU در آن بازه است.

برای نمونه برداری مستقیم از Performance Counterهای ویندوز نیز می توان از Get-Counter استفاده کرد. این دستور داده های Performance Monitoring ویندوز را دریافت می کند و امکان نمونه برداری با فاصله و تعداد مشخص را دارد.

چگونه گزارش را با هوش مصنوعی تحلیل کنیم؟

فایل ZIP و فایل Live-CPU-60s.csv را در اختیار سامانه هوش مصنوعی قرار دهید و یک درخواست دقیق ارائه کنید. کیفیت تحلیل مستقیما به کیفیت دستور و داده ورودی وابسته است.

نمونه پرامپت مناسب:

فایل های گزارش ویندوز 11 را تحلیل کن. پردازش ها را بر اساس مصرف زنده CPU، مصرف تجمعی CPU، RAM، مسیر فایل، شرکت سازنده و سرویس مرتبط اولویت بندی کن. اجزای اصلی ویندوز را از نرم افزارهای جانبی تفکیک کن. هیچ پردازش یا سرویسی را صرفا بر اساس نام مشکوک اعلام نکن. برای هر مورد غیرعادی، دلیل فنی، سطح ریسک، روش تایید و اقدام کم خطر پیشنهاد بده. ابتدا مواردی را بررسی کن که مصرف بالا، مسیر غیرعادی، امضای نامعتبر، شرکت ناشناس یا اجرای خودکار دارند.

هوش مصنوعی باید پاسخ را در چند گروه ارائه کند:

• پردازش های طبیعی ویندوز
• پردازش های نرم افزارهای نصب شده
• پردازش های پرمصرف اما احتمالا قانونی
• موارد نیازمند بررسی
• موارد دارای نشانه امنیتی
• اقدام های کم خطر
• اقدام هایی که بدون بررسی نباید انجام شوند

روش حرفه ای تشخیص پردازش غیرعادی

بررسی میزان مصرف در کنار زمان شروع

یک پردازش با CPU_Seconds بالا ممکن است چند روز فعال بوده باشد. در مقابل، پردازشی که تازه اجرا شده و در مدت کوتاهی CPU زیادی مصرف کرده، اولویت بررسی بالاتری دارد.

بررسی مسیر فایل اجرایی

فایل های اصلی ویندوز معمولا داخل مسیرهایی مانند C:\Windows\System32 قرار دارند. وجود نامی شبیه پردازش ویندوز در پوشه موقت، Downloads، AppData یا مسیر ناشناس می تواند نیازمند بررسی بیشتر باشد.

مسیر غیرعادی به تنهایی اثبات کننده بدافزار نیست. بسیاری از برنامه های قانونی کاربر در AppData نصب می شوند. تحلیل باید بر اساس مجموعه ای از نشانه ها انجام شود.

بررسی شرکت سازنده و توضیحات فایل

نام شرکت معتبر می تواند احتمال قانونی بودن فایل را افزایش دهد، اما این ویژگی قابل جعل است. امضای دیجیتال یا Digital Signature معیار قابل اعتماد تری نسبت به متن Company است.

ارتباط پردازش با سرویس

اگر یک پردازش مصرف بالایی دارد، PID آن را در Services.csv و Process-Service-Mapping.csv جستجو کنید. این کار مشخص می کند پردازش به کدام سرویس تعلق دارد.

بررسی Startup و Scheduled Task

اگر پردازش بعد از هر ورود یا راه اندازی سیستم بازمی گردد، باید Startup و Task Scheduler بررسی شوند. توقف موقت پردازش بدون حذف عامل راه اندازی خودکار، مشکل را فقط تا Restart بعدی پنهان می کند.

بررسی امضای دیجیتال و Hash فایل مشکوک

برای یک فایل اجرایی ناشناس، ابتدا امضای Authenticode و سپس Hash آن را استخراج کنید.

# ________________________________________
# Programmer : Ebrahim Shafiei (EbraSha)
# Email : [email protected]

$FilePath = "C:\Path\To\SuspiciousFile.exe"

Get-AuthenticodeSignature -FilePath $FilePath |
    Select-Object Status, StatusMessage, SignerCertificate

Get-FileHash -Path $FilePath -Algorithm SHA256

دستور Get-AuthenticodeSignature اطلاعات امضای Authenticode فایل را دریافت می کند. دستور Get-FileHash نیز Hash فایل را با الگوریتم تعیین شده محاسبه می کند.

وضعیت Valid نشانه مثبتی است، اما قانونی بودن کامل رفتار برنامه را تضمین نمی کند. یک نرم افزار امضاشده نیز می تواند با تنظیمات نامناسب، Bug یا مصرف منابع غیرمنطقی همراه باشد.

توقف آزمایشی یک سرویس پرمصرف

هنگامی که تحلیل نشان می دهد یک سرویس جانبی احتمالا عامل مصرف منابع است، بهترین اقدام حذف فوری آن نیست. ابتدا نام سرویس، شرکت سازنده، وابستگی ها و کاربرد آن را بررسی کنید.

# ________________________________________
# Programmer : Ebrahim Shafiei (EbraSha)
# Email : [email protected]

$ServiceName = "ExampleService"

Get-Service -Name $ServiceName -DependentServices
Get-Service -Name $ServiceName -RequiredServices

Stop-Service -Name $ServiceName -Force
Set-Service -Name $ServiceName -StartupType Manual

Stop-Service پیام توقف را برای Windows Service Controller ارسال می کند و Set-Service می تواند ویژگی هایی مانند Startup Type را تغییر دهد. مایکروسافت توصیه می کند پیش از توقف سرویس، سرویس های وابسته بررسی شوند.

تغییر Startup Type به Manual از حذف سرویس کم خطرتر است. اگر پس از Restart مشکلی ایجاد شد، می توان سرویس را دوباره روی Automatic قرار داد.

سناریوهای واقعی استفاده

کند شدن سیستم پس از نصب نرم افزار مانیتور

برخی نرم افزارهای مدیریت نمایشگر، RGB، مادربرد، تجهیزات جانبی یا کنترل پنجره ها یک سرویس دائمی نصب می کنند. این سرویس ممکن است به دلیل Bug، ارتباط مداوم با سخت افزار یا ناسازگاری درایور، CPU مصرف کند.

در این سناریو باید نام سرویس، مسیر فایل، شرکت سازنده و مصرف زنده CPU بررسی شود. اگر کاربر از امکانات نرم افزار استفاده نمی کند، قرار دادن سرویس روی حالت Manual یا حذف نرم افزار می تواند منطقی باشد.

مصرف بالای SearchIndexer.exe

سرویس Windows Search هنگام Index کردن تعداد زیادی فایل، تغییر محتوا یا اضافه شدن یک درایو جدید می تواند فعال شود. تصمیم درست، غیرفعال کردن فوری آن نیست. ابتدا باید بررسی شود مصرف بالا موقت است یا ساعت ها ادامه دارد.

مصرف بالای dwm.exe

Desktop Window Manager مسئول ترکیب و نمایش پنجره هاست. مصرف بالای آن می تواند با درایور گرافیک، نرخ تازه سازی بالا، چند مانیتور، انیمیشن ها، برنامه های Overlay یا مشکلات رابط گرافیکی مرتبط باشد. پایان دادن دائمی به این پردازش راه حل مناسب نیست.

افزایش مصرف explorer.exe

مصرف بالای Explorer ممکن است ناشی از Shell Extension، تولید Thumbnail، پوشه شبکه، فایل خراب یا پنجره های متعدد باشد. Restart کردن Explorer یک آزمایش کم خطر است، اما اگر مشکل بازگردد باید افزونه های Shell و پوشه درگیر بررسی شوند.

خطاهای رایج در تحلیل پردازش های ویندوز

حذف سرویس صرفا به دلیل ناشناس بودن نام

بسیاری از سرویس های قانونی نام کوتاه، فنی یا نامفهوم دارند. ناشناس بودن برای کاربر معادل مخرب بودن نیست.

اشتباه گرفتن CPU تجمعی با مصرف لحظه ای

این یکی از رایج ترین خطاهاست. مقدار CPU ثبت شده توسط Get-Process نشان دهنده زمان تجمعی پردازنده است. برای تشخیص فعالیت فعلی باید نمونه برداری زمانی انجام شود.

تمرکز صرف بر RAM

مصرف بالای RAM همیشه مشکل نیست. ویندوز و برنامه ها از حافظه آزاد برای Cache استفاده می کنند. مشکل زمانی جدی تر است که مصرف حافظه به صورت مداوم رشد کند، Paging افزایش یابد یا سیستم با کمبود حافظه مواجه شود.

توقف سرویس های مایکروسافت بدون بررسی

توقف سرویس هایی مانند Windows Update، Defender، RPC، Event Log یا سرویس های شبکه می تواند امنیت، پایداری یا قابلیت بازیابی سیستم را مختل کند.

اعتماد کامل به تحلیل هوش مصنوعی

هوش مصنوعی ممکن است نام یک نرم افزار تخصصی را نشناسد یا یک سرویس قانونی را اشتباه طبقه بندی کند. نتیجه باید با مسیر فایل، امضای دیجیتال، مستندات سازنده و رفتار واقعی سیستم تایید شود.

بهترین روش ها Best Practices

1. هنگام بروز مشکل یک گزارش تهیه کنید و بعد از رفع مشکل گزارش دوم را ثبت کنید.
2. مصرف زنده CPU را حداقل در یک بازه 60 ثانیه ای اندازه گیری کنید.
3. قبل از تغییر سرویس، Restore Point یا نسخه پشتیبان ایجاد کنید.
4. به جای حذف فوری، ابتدا سرویس جانبی را موقتا متوقف کنید.
5. مسیر فایل و امضای دیجیتال را همزمان بررسی کنید.
6. پردازش را همراه با سرویس، Startup و Scheduled Task تحلیل کنید.
7. گزارش ها را در فضای عمومی بدون پاک سازی اطلاعات شخصی منتشر نکنید.
8. نتیجه هوش مصنوعی را یک فرضیه فنی بدانید، نه حکم قطعی.
9. پس از هر تغییر فقط یک متغیر را آزمایش کنید تا علت واقعی مشخص بماند.
10. برای سیستم های سازمانی، تغییرات را ابتدا در محیط آزمایشی یا Test Environment انجام دهید.

مزایا و محدودیت های این روش

مهم ترین مزیت این روش، استفاده از ابزارهای داخلی ویندوز و تولید داده قابل تحلیل است. نصب ابزار ناشناس لازم نیست و گزارش را می توان برای بررسی انسانی، هوش مصنوعی یا سامانه مانیتورینگ استفاده کرد.

محدودیت اصلی این است که گزارش یک Snapshot از وضعیت سیستم است. برخی فعالیت های کوتاه مدت، وقفه های سخت افزاری، مصرف GPU، تاخیر دیسک و ارتباطات شبکه به صورت کامل در این مجموعه ثبت نمی شوند. برای تحلیل های عمیق تر باید از Performance Monitor، Event Viewer، Resource Monitor، Windows Performance Recorder یا ابزارهای تخصصی Sysinternals استفاده شود.

همچنین این روش به تنهایی برای اثبات آلودگی بدافزاری کافی نیست. تحلیل امنیتی حرفه ای ممکن است به بررسی Network Connection، Event Log، Registry، امضای فایل، Parent Process، Command Line، Persistence Mechanism و رفتار فایل در محیط ایزوله نیاز داشته باشد.

سوالات متداول FAQ

آیا مصرف بالای CPU همیشه نشانه ویروس است؟

خیر. سرویس های به روز رسانی، Indexing، درایورها، نرم افزارهای مدیریت سخت افزار و برنامه های دارای Bug نیز می توانند CPU زیادی مصرف کنند. برای نتیجه گیری باید مسیر فایل، امضای دیجیتال، سرویس مرتبط و رفتار زمانی بررسی شود.

تفاوت CPU_Seconds با CPU_Percent چیست؟

CPU_Seconds زمان تجمعی استفاده پردازش از CPU از زمان شروع آن است. CPU_Percent میزان تقریبی استفاده از ظرفیت پردازنده در یک بازه زمانی مشخص را نشان می دهد.

آیا می توان همه سرویس های غیر مایکروسافتی را غیرفعال کرد؟

خیر. برخی سرویس های غیر مایکروسافتی برای درایور صدا، کارت گرافیک، شبکه، امنیت، Backup یا سخت افزار ضروری هستند. هر سرویس باید به صورت جداگانه بررسی شود.

آیا ارسال فایل گزارش ویندوز برای هوش مصنوعی امن است؟

گزارش ممکن است نام کاربری، مسیر فایل ها، نام سیستم و اطلاعات نرم افزارها را دربر داشته باشد. قبل از ارسال، اطلاعات حساس را حذف کنید و از انتشار عمومی گزارش خودداری کنید.

برای تشخیص بدافزار، بررسی Process کافی است؟

خیر. تحلیل بدافزار ممکن است به بررسی ارتباطات شبکه، Registry، Event Log، امضای دیجیتال، Parent Process، Command Line و روش های Persistence نیاز داشته باشد.