3 Fragen zu Sysinternals

VMMap von den Sysinternals-Tools ist ein Analysewerkzeug, das die Speicherbelegung (Virtual Memory) eines Prozesses sehr detailliert visualisiert. Es zeigt unter anderem an, wie viel Speicher ein Prozess belegt, wie viel davon tatsächlich im RAM liegt, wie viel ausgelagert ist, und wie sich die verschiedenen Speicherbereiche zusammensetzen (Heap, Stack, Image, Mapped Files usw.). **Bezüglich Paging-Aktivität:** VMMap zeigt dir an, wie viel Speicher eines Prozesses ausgelagert (paged out) ist und wie viel sich im physischen Speicher (RAM) befindet. Es gibt dir also einen sehr guten Überblick darüber, wie viel und welche Teile des Speichers eines Prozesses gepaged sind. **Was VMMap nicht kann:** VMMap zeigt keine Echtzeit-Statistiken über Paging-Aktivitäten, wie z.B. die Anzahl der Page Faults pro Sekunde oder wie oft ein Prozess gerade auf die Auslagerungsdatei zugreift. Es ist kein Tool zur Überwachung der Paging-Aktivität im zeitlichen Verlauf, sondern eher ein "Momentaufnahme"-Werkzeug. **Fazit:** Du kannst mit VMMap sehen, wie viel Speicher eines Prozesses ausgelagert ist und wie sich der Speicher zusammensetzt. Für die Überwachung der tatsächlichen Paging-Aktivität (z.B. Page Faults pro Sekunde) solltest du jedoch Tools wie den **Ressourcenmonitor** oder den **Leistungsmonitor** von Windows verwenden. Weitere Infos zu VMMap: https://learn.microsoft.com/en-us/sysinternals/downloads/vmmap Weitere Infos zu Sysinternals: https://learn.microsoft.com/en-us/sysinternals/

Um in Sysinternals Process Monitor (Procmon) den Ringbuffer in der Benutzeroberfläche zu aktivieren, gehe wie folgt vor: 1. **Procmon starten.** 2. Im Menü **"File"** (Datei) den Punkt **"Backing Files..."** auswählen. 3. Im sich öffnenden Fenster gibt es die Option **"Use virtual memory"** (Virtuellen Speicher verwenden). Diese Option aktiviert den Ringbuffer-Modus. Das bedeutet, dass die aufgezeichneten Daten nur im Arbeitsspeicher gehalten werden und alte Einträge überschrieben werden, sobald der Speicher voll ist. **Hinweis:** Der Ringbuffer ist standardmäßig aktiviert, solange du keinen Dateipfad für die Protokollierung auswählst. Sobald du eine Datei als "Backing File" auswählst, wird der Ringbuffer deaktiviert und alle Daten werden dauerhaft in die Datei geschrieben. **Zusammengefasst:** - **File → Backing Files... → Use virtual memory** auswählen, um den Ringbuffer zu aktivieren. Weitere Informationen findest du auf der offiziellen Seite von Sysinternals Procmon: https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

Im **Process Monitor** (ProcMon) von Sysinternals kannst du nachvollziehen, wann ein Prozess Daten aus der Auslagerungsdatei (Pagefile) zurücklädt, indem du gezielt nach bestimmten Ereignissen filterst. Allerdings zeigt ProcMon nicht direkt „wie viel“ Daten aus der Pagefile geladen werden, sondern protokolliert die entsprechenden I/O-Operationen auf Systemebene. **So gehst du vor:** 1. **ProcMon starten** Starte Process Monitor mit Administratorrechten. 2. **Filter setzen** Setze einen Filter auf den Prozess, den du beobachten möchtest: Menü „Filter“ → „Filter...“ → `Process Name` → `is` → `[dein Prozessname]` → „Add“ → „OK“. 3. **Pagefile-Zugriffe filtern** Die Auslagerungsdatei heißt in der Regel `pagefile.sys`. Setze einen weiteren Filter: `Path` → `contains` → `pagefile.sys` → „Add“ → „OK“. 4. **Relevante Operationen beobachten** Interessant sind vor allem die Operationen: - `ReadFile` (liest Daten aus der Pagefile) - `WriteFile` (schreibt Daten in die Pagefile) Besonders das Lesen (`ReadFile`) zeigt, wann Daten aus der Pagefile zurück in den Arbeitsspeicher geladen werden. 5. **Datenmenge ablesen** In der Spalte „Length“ siehst du die Anzahl der gelesenen Bytes pro Zugriff. Du kannst die Spalte einblenden, falls sie nicht sichtbar ist: Rechtsklick auf die Spaltenüberschriften → „Select Columns...“ → „Length“ aktivieren. 6. **Zeitpunkt ablesen** Die Spalte „Time of Day“ zeigt dir, wann der Zugriff stattfand. **Zusammengefasst:** - **Wann**: Siehst du in der Spalte „Time of Day“ bei jedem `ReadFile` auf `pagefile.sys`. - **Wie viel**: Siehst du in der Spalte „Length“ für jeden Zugriff. **Hinweis:** Process Monitor zeigt die Zugriffe auf die Pagefile, aber nicht explizit, ob es sich um einen „Page-In“ (also das Zurückladen ausgelagerter Speicherseiten) handelt. In der Praxis sind aber `ReadFile`-Operationen auf `pagefile.sys` ein sehr guter Indikator dafür. **Weitere Infos:** - [Process Monitor – Microsoft Docs](https://docs.microsoft.com/en-us/sysinternals/downloads/procmon) - [Sysinternals Suite](https://learn.microsoft.com/en-us/sysinternals/downloads/sysinternals-suite) Damit kannst du nachvollziehen, wann und wie viel ein Prozess aus der Pagefile liest.