Process Explorer คืออะไร? วิธีหาโปรแกรมผิดปกติที่ Task Manager มองไม่เห็น

Process Explorer คือเครื่องมือวิเคราะห์ Process ขั้นสูงจาก Microsoft Sysinternals ช่วยตรวจสอบว่าโปรแกรมใดกำลังทำงาน ใช้ CPU หรือ RAM เท่าใด เปิดมาจากไฟล์ไหน มี Process ใดเป็นตัวเรียก และกำลังโหลด DLL หรือจับไฟล์ใดอยู่

เมื่อ Windows 10 ช้า โปรแกรมค้าง ไฟล์ลบไม่ได้ หรือพบ Process ชื่อแปลก Process Explorer จะให้ข้อมูลละเอียดกว่า Task Manager และช่วยแยกได้ว่าปัญหาเกิดจากโปรแกรมทั่วไป Service, Driver หรือส่วนประกอบของ Windows

คำเตือน: อย่าหยุด Process เพียงเพราะไม่รู้จักชื่อ การปิด Process ระบบผิดตัวอาจทำให้โปรแกรมปิด ข้อมูลที่ยังไม่บันทึกสูญหาย หรือ Windows ทำงานผิดปกติ

สารบัญ

Process Explorer คืออะไร
Process Explorer ใช้ทำอะไรได้บ้าง
ต่างจาก Task Manager อย่างไร
วิธีดาวน์โหลดอย่างปลอดภัย
วิธีเปิด Process Explorer
ทำความเข้าใจหน้าจอหลัก
สีของ Process หมายถึงอะไร
วิธีดูโปรแกรมใช้ CPU สูง
วิธีตรวจสอบโปรแกรมกิน RAM
วิธีดูตำแหน่งไฟล์ Process
วิธีดู Parent Process
วิธีตรวจสอบ Digital Signature
วิธีใช้ VirusTotal
วิธีหา Process ชื่อแปลก
วิธีค้นหาไฟล์ที่ถูกล็อก
วิธีดู DLL และ Handle
วิธีวิเคราะห์ Service Host
วิธีตรวจสอบ Network Connection
วิธีหยุด Process อย่างปลอดภัย
Kill Process Tree คืออะไร
Suspend และ Restart Process
วิธีตั้งค่าแทน Task Manager
วิธีบันทึกข้อมูล
ปัญหาที่พบบ่อย
คำถามที่พบบ่อย
สรุป

1. Process Explorer คืออะไร

Process Explorer เป็นโปรแกรมขนาดเล็กในชุด Windows Sysinternals ใช้แสดงและวิเคราะห์ Process ที่กำลังทำงานใน Windows แบบละเอียด

คำว่า Process หมายถึงอินสแตนซ์ของโปรแกรมหรือส่วนประกอบระบบที่กำลังทำงาน โปรแกรมหนึ่งอาจมี Process เดียวหรือเปิด Process ย่อยหลายตัวก็ได้

Process Explorer ช่วยแสดงข้อมูล เช่น

ชื่อ Process
Process ID หรือ PID
Parent Process
การใช้ CPU
การใช้หน่วยความจำ
ตำแหน่งไฟล์ Executable
Command Line ที่ใช้เปิด
บัญชีผู้ใช้ที่เรียก Process
บริษัทผู้เผยแพร่ไฟล์
Digital Signature
Service ที่ทำงานอยู่ภายใน Process
DLL ที่ Process โหลด
Handle ที่ Process เปิดอยู่
Process Tree หรือความสัมพันธ์ระหว่าง Process

ข้อมูลเหล่านี้ช่วยให้ระบุต้นเหตุของปัญหาได้ดีกว่าการดูเฉพาะชื่อโปรแกรมและเปอร์เซ็นต์ CPU

2. Process Explorer ใช้ทำอะไรได้บ้าง

Process Explorer เหมาะกับงานตรวจสอบ Windows 10 หลายรูปแบบ เช่น

หาโปรแกรมที่ใช้ CPU สูง
ตรวจสอบ Process ที่กิน RAM ผิดปกติ
ดูว่า Process ใดเปิดโปรแกรมอีกตัวขึ้นมา
ค้นหาตำแหน่งไฟล์ของ Process
ตรวจสอบลายเซ็นดิจิทัลของไฟล์
หาว่าไฟล์หรือโฟลเดอร์ถูกโปรแกรมใดล็อก
ดู DLL ที่โปรแกรมกำลังใช้งาน
ตรวจสอบ Service ที่อยู่ภายใน svchost.exe
ปิด Process และ Process ย่อยพร้อมกัน
เปรียบเทียบ Process ปกติกับ Process น่าสงสัย
ดูกราฟการใช้ CPU, RAM, GPU และ I/O
ตรวจสอบ Command Line ของโปรแกรม
ดูสิทธิ์และบัญชีผู้ชีใช้ของ Process
ตรวจสอบว่า Process เชื่อมโยงกับ Job ใด
บันทึกข้อมูลสำหรับส่งให้ฝ่าย IT วิเคราะห์

Process Explorer ไม่ใช่โปรแกรม Antivirus แต่ช่วยรวบรวมข้อมูลเพื่อประเมินว่า Process ใดควรตรวจสอบเพิ่มเติม

3. Process Explorer ต่างจาก Task Manager อย่างไร

Task Manager เหมาะกับการตรวจสอบและปิดโปรแกรมทั่วไป ส่วน Process Explorer เหมาะกับการวิเคราะห์เชิงลึก

ความสามารถ	Task Manager	Process Explorer
ดู Process ที่กำลังทำงาน	มี	มี
ดู CPU และ RAM	มี	มีรายละเอียดมากกว่า
แสดง Process แบบ Tree	จำกัด	แสดงชัดเจน
ดู Parent Process	จำกัด	มี
ดูตำแหน่งไฟล์	มีบางส่วน	มีรายละเอียด
ดู Command Line	เปิดเพิ่มได้	แสดงและตรวจสอบง่าย
ตรวจสอบ Digital Signature	จำกัด	รองรับ
ดู DLL	ไม่มีในหน้าจอทั่วไป	มี
ดู Handle	ไม่มี	มี
หา Process ที่ล็อกไฟล์	ไม่สะดวก	มีช่องค้นหา
ดู Service ภายใน Process	มีบางส่วน	ละเอียด
ตรวจสอบผ่าน VirusTotal	ไม่มี	รองรับการเชื่อมต่อ
Kill Process Tree	มีข้อจำกัด	รองรับ
แสดงสีแบ่งประเภท Process	ไม่มี	มี

ผู้ใช้ทั่วไปไม่จำเป็นต้องเลิกใช้ Task Manager สามารถใช้ Task Manager สำหรับงานรวดเร็วและเปิด Process Explorer เมื่อต้องการข้อมูลเพิ่มเติมได้

4. Process Explorer ปลอดภัยหรือไม่

Process Explorer ที่ดาวน์โหลดจาก Microsoft Sysinternals เป็นเครื่องมือดูแลระบบที่น่าเชื่อถือ แต่ควรระวังไฟล์ที่ถูกนำไปเผยแพร่ใหม่บนเว็บไซต์อื่น

แนวทางดาวน์โหลดอย่างปลอดภัย ได้แก่

ดาวน์โหลดจากหน้า Microsoft Sysinternals
ตรวจสอบชื่อผู้เผยแพร่ไฟล์
ตรวจสอบ Digital Signature
สแกนไฟล์ด้วย Microsoft Defender
หลีกเลี่ยงไฟล์ติดตั้งที่มีโปรแกรมอื่นแถม
ใช้เวอร์ชันปัจจุบันที่รองรับระบบ
ไม่เปิดไฟล์จากลิงก์หรืออีเมลที่ไม่ทราบที่มา

Process Explorer สามารถหยุด Process และเปลี่ยนแปลงการทำงานบางส่วนได้ จึงควรใช้บัญชี Administrator เฉพาะเมื่อต้องตรวจสอบ Process ระบบจริงๆ

5. วิธีดาวน์โหลด Process Explorer

หลังเข้าสู่หน้า Windows Sysinternals ของ Microsoft ให้ค้นหา Process Explorer และดาวน์โหลดไฟล์ ZIP

เมื่อดาวน์โหลดเสร็จ ให้ทำดังนี้

คลิกขวาที่ไฟล์ ZIP
เลือก Extract All
เลือกโฟลเดอร์ปลายทาง
คลิก Extract
เปิดโฟลเดอร์ที่แตกไฟล์แล้ว
เลือกไฟล์ Process Explorer ที่ตรงกับระบบ
ยอมรับข้อตกลงเมื่อเปิดครั้งแรก

สามารถเก็บโปรแกรมไว้ในโฟลเดอร์ เช่น


C:\Tools\ProcessExplorer

Process Explorer เป็นโปรแกรมแบบ Portable ในการใช้งานทั่วไป จึงไม่จำเป็นต้องติดตั้งด้วยขั้นตอนแบบโปรแกรมขนาดใหญ่

6. วิธีเปิด Process Explorer บน Windows 10

เปิดแบบผู้ใช้ทั่วไป

ดับเบิลคลิกไฟล์ Process Explorer ภายในโฟลเดอร์ที่แตกไว้ เหมาะสำหรับตรวจสอบโปรแกรมของบัญชีผู้ใช้ปัจจุบัน

เปิดด้วยสิทธิ์ Administrator

คลิกขวาที่ไฟล์โปรแกรม
เลือก Run as administrator
กด Yes

เมื่อเปิดด้วยสิทธิ์ Administrator จะสามารถดูข้อมูล Process ระบบและ Process ของผู้ใช้อื่นได้ครบขึ้น

หากเปิดโปรแกรมอยู่แล้ว สามารถตรวจสอบเมนูที่เกี่ยวข้องกับการยกระดับสิทธิ์ โดยตำแหน่งเมนูอาจแตกต่างตามเวอร์ชันของโปรแกรม

7. ทำความเข้าใจหน้าจอหลัก

หน้าจอหลักของ Process Explorer แบ่งข้อมูลสำคัญเป็นแถวและคอลัมน์ โดยแต่ละแถวแทน Process หนึ่งรายการ

คอลัมน์ที่มักพบ ได้แก่

คอลัมน์	ความหมาย
Process	ชื่อ Process
PID	หมายเลข Process ID
CPU	เปอร์เซ็นต์การใช้ CPU
Private Bytes	หน่วยความจำที่ Process จัดสรรเฉพาะ
Working Set	หน่วยความจำจริงที่ Process ใช้อยู่
Description	คำอธิบายของไฟล์
Company Name	บริษัทหรือผู้เผยแพร่
User Name	บัญชีที่เรียก Process
Command Line	คำสั่งและ Parameter ที่ใช้เปิด
Path	ตำแหน่งไฟล์ Executable
Verified Signer	ผลตรวจสอบ Digital Signature
Start Time	เวลาที่ Process เริ่มทำงาน
Handles	จำนวน Handle ที่เปิดอยู่
Threads	จำนวน Thread

สามารถคลิกหัวคอลัมน์เพื่อเรียงข้อมูลจากมากไปน้อยหรือจากน้อยไปมากได้

8. Process Tree คืออะไร

Process Explorer จัด Process เป็นโครงสร้างต้นไม้ เพื่อแสดงว่า Process ใดเปิด Process ใดขึ้นมา

ตัวอย่างความสัมพันธ์ที่พบได้ตามปกติ เช่น

Windows Shell เปิดโปรแกรมที่ผู้ใช้คลิก
Browser เปิด Process ย่อยสำหรับแต่ละแท็บ
โปรแกรมหลักเปิด Updater
Service Control Manager เรียก Service
Command Prompt เปิดโปรแกรมตามคำสั่ง

Process ที่อยู่ด้านบนเรียกว่า Parent Process ส่วน Process ที่ถูกเปิดขึ้นมาเรียกว่า Child Process

การดู Parent Process ช่วยตอบคำถามว่าโปรแกรมเริ่มทำงานจากที่ใด แต่ Parent อาจปิดไปแล้ว ทำให้ Process ถูกย้ายตำแหน่งใน Tree หรือข้อมูลความสัมพันธ์ไม่สมบูรณ์ได้

9. สีของ Process หมายถึงอะไร

Process Explorer ใช้สีเพื่อช่วยแยกประเภทหรือสถานะของ Process ตัวอย่างที่อาจพบ ได้แก่

Process ใหม่
Process ที่กำลังปิด
Service
Process ของบัญชีผู้ใช้ปัจจุบัน
Process ที่บีบอัดหรือ Packed Image
Process ที่ทำงานภายใต้ Job
Process ที่ใช้ .NET
Process ที่ถูก Suspend
Process ที่เปิดแบบ Immersive หรือ App บางประเภท

ความหมายและสีสามารถตรวจสอบหรือปรับได้จากการตั้งค่า Color Selection ของโปรแกรม

สีไม่ได้บอกโดยตรงว่า Process ปลอดภัยหรือเป็นไวรัส เช่น Process ที่ถูกเน้นว่า Packed Image อาจเป็นซอฟต์แวร์ถูกต้องที่ใช้เทคนิคบีบอัดไฟล์ก็ได้

10. วิธีเพิ่มคอลัมน์ที่จำเป็น

หากหน้าจอแสดงข้อมูลไม่เพียงพอ สามารถเพิ่มคอลัมน์ได้จากเมนูเลือก Columns

คอลัมน์ที่แนะนำสำหรับการวิเคราะห์เบื้องต้น ได้แก่

PID
CPU Usage
Private Bytes
Working Set
User Name
Description
Company Name
Image Path
Command Line
Verified Signer
Start Time
Integrity Level
VirusTotal
Handles
Threads
I/O Read Bytes
I/O Write Bytes

ไม่จำเป็นต้องเปิดทุกคอลัมน์พร้อมกัน เพราะหน้าจอจะกว้างและอ่านยาก ควรเลือกตามปัญหาที่กำลังตรวจสอบ

11. วิธีหาโปรแกรมที่ใช้ CPU สูง

เมื่อ Windows 10 ช้าหรือพัดลมทำงานหนัก ให้ตรวจสอบ CPU ตามขั้นตอนนี้

เปิด Process Explorer
คลิกคอลัมน์ CPU
เรียงจากค่ามากไปน้อย
รอสังเกตประมาณหนึ่งถึงสองนาที
ดูว่า Process ใดใช้ CPU สูงต่อเนื่อง
เปิด Properties ของ Process
ตรวจสอบ Path, Company Name และ Command Line
ตรวจสอบแท็บ Threads หากต้องการข้อมูลเชิงลึก
ปิดโปรแกรมจากหน้าต่างปกติก่อนใช้คำสั่ง Kill

การใช้ CPU สูงช่วงสั้นอาจเป็นเรื่องปกติ เช่น ขณะเปิดโปรแกรม ติดตั้งอัปเดต สแกนไวรัส หรือประมวลผลไฟล์ขนาดใหญ่

ควรสนใจ Process ที่ใช้ CPU สูงต่อเนื่องทั้งที่ไม่ได้สั่งงาน หรือใช้ทรัพยากรสูงซ้ำๆ จนกระทบการใช้งาน

12. System Idle Process ใช้ CPU สูงอันตรายหรือไม่

System Idle Process แสดงเปอร์เซ็นต์เวลาที่ CPU ว่าง ไม่ใช่เปอร์เซ็นต์การใช้งานจริง

ตัวอย่างเช่น หาก System Idle Process แสดง 90% หมายความว่า CPU มีเวลาว่างประมาณ 90% และกำลังถูกใช้งานประมาณ 10%

จึงไม่ควรพยายามปิด System Idle Process และไม่ต้องแก้ไขเมื่อค่าอยู่ในระดับสูง

13. วิธีตรวจสอบโปรแกรมกิน RAM

การดู RAM ไม่ควรพิจารณาเพียงคอลัมน์เดียว เพราะ Windows แบ่งหน่วยความจำออกเป็นหลายประเภท

คอลัมน์สำคัญ ได้แก่

Working Set

ปริมาณ Physical RAM ที่ Process กำลังใช้หรือมีอยู่ในหน่วยความจำขณะนั้น

Private Bytes

หน่วยความจำที่ Process จัดสรรและไม่สามารถแบ่งปันกับ Process อื่นได้ เหมาะสำหรับติดตามอาการ Memory Leak

Commit Size

ปริมาณหน่วยความจำเสมือนที่ระบบรับรองให้กับ Process ซึ่งอาจได้รับการรองรับจาก RAM หรือ Page File

หากต้องการหาโปรแกรมที่มีแนวโน้ม Memory Leak ให้สังเกตค่า Private Bytes ว่าเพิ่มขึ้นต่อเนื่องเป็นเวลานานหรือไม่ แม้โปรแกรมไม่ได้ทำงานเพิ่ม

14. วิธีดูกราฟประสิทธิภาพของระบบ

Process Explorer มีหน้าต่าง System Information สำหรับดูภาพรวมทรัพยากร เช่น

CPU Usage
Commit Charge
Physical Memory
I/O
GPU ตามระบบที่รองรับ
Process Count
Thread Count
Handle Count

กราฟช่วยดูได้ว่าปัญหาเกิดเป็นช่วงเวลาใด และทรัพยากรส่วนไหนเพิ่มขึ้นพร้อมกัน

ตัวอย่างเช่น หาก CPU และ I/O เพิ่มสูงพร้อมกัน อาจมีโปรแกรมกำลังประมวลผลและอ่านเขียนดิสก์จำนวนมาก แต่ต้องเปิดดู Process ที่เกี่ยวข้องเพื่อยืนยันอีกครั้ง

15. วิธีดูตำแหน่งไฟล์ของ Process

ตำแหน่งไฟล์เป็นข้อมูลสำคัญในการตรวจสอบ Process ที่ไม่รู้จัก

วิธีตรวจสอบคือ

คลิกขวาที่ Process
เลือก Properties
เปิดแท็บ Image
ดูช่อง Path
ตรวจสอบ Command Line
ตรวจสอบ Current Directory หากมี
ใช้ตัวเลือกเปิดตำแหน่งไฟล์ตามที่โปรแกรมรองรับ

ตำแหน่งที่ควรพิจารณาเพิ่มเติม ได้แก่

โฟลเดอร์ Temp
โฟลเดอร์ดาวน์โหลด
โฟลเดอร์ชื่อสุ่ม
ตำแหน่งภายใน AppData ที่ไม่เกี่ยวข้องกับโปรแกรม
ไฟล์ที่เลียนแบบชื่อ Windows แต่ไม่ได้อยู่ในโฟลเดอร์ระบบ
Path ที่เรียกผ่าน Script หรือ Command Line ยาวผิดปกติ

อย่างไรก็ตาม โปรแกรมปกติจำนวนมากติดตั้งใน AppData ได้ จึงไม่ควรตัดสินจากตำแหน่งเพียงอย่างเดียว

16. วิธีดู Command Line ของ Process

ชื่อ Process อย่างเดียวอาจไม่บอกว่าโปรแกรมกำลังทำอะไร เพราะโปรแกรมเดียวกันสามารถถูกเปิดด้วย Parameter ที่ต่างกันได้

สามารถดู Command Line ได้สองวิธี

เพิ่มคอลัมน์ Command Line ในหน้าจอหลัก
เปิด Properties แล้วดูในแท็บ Image

Command Line ช่วยให้เห็นข้อมูล เช่น

Path เต็มของโปรแกรม
ไฟล์ที่โปรแกรมกำลังเปิด
Parameter การเริ่มทำงาน
URL หรือ Profile ที่เกี่ยวข้อง
Service Parameter
Script ที่ถูกเรียก
โหมดการทำงานของโปรแกรม

อย่านำ Command Line ที่มี Token, รหัสผ่าน หรือข้อมูลส่วนตัวไปเผยแพร่ เพราะบางโปรแกรมอาจใส่ข้อมูลสำคัญไว้ใน Parameter

17. วิธีตรวจสอบ Parent Process

คลิก Process ที่ต้องการแล้วดูตำแหน่งใน Process Tree หรือเปิด Properties เพื่อตรวจสอบข้อมูล Parent

คำถามที่ควรใช้วิเคราะห์ ได้แก่

Process นี้ถูกเปิดจากโปรแกรมใด
Parent Process เป็น Windows Shell หรือไม่
Browser เป็นตัวเปิดไฟล์หรือไม่
Process เริ่มจาก Service หรือ Scheduled Task หรือไม่
Command Prompt หรือ PowerShell เป็นตัวเรียกหรือไม่
Parent Process ยังทำงานอยู่หรือปิดไปแล้ว
ความสัมพันธ์สอดคล้องกับสิ่งที่ผู้ใช้เพิ่งทำหรือไม่

ตัวอย่างเช่น หากผู้ใช้คลิกเปิดโปรแกรมจาก Desktop การที่ Windows Shell เป็น Parent อาจเป็นเรื่องปกติ แต่ถ้าโปรแกรมเอกสารเปิด Script Interpreter โดยไม่ทราบสาเหตุ ควรตรวจสอบเพิ่มเติม

18. วิธีตรวจสอบ Company Name และ Description

Company Name และ Description มาจากข้อมูลภายในไฟล์ Executable ช่วยให้ทราบว่าไฟล์อ้างว่าเป็นของบริษัทใดและทำหน้าที่อะไร

หากคอลัมน์ว่าง ไม่ได้หมายความว่าไฟล์เป็นอันตรายเสมอไป เพราะโปรแกรมขนาดเล็กหรือซอฟต์แวร์ที่พัฒนาภายในอาจไม่ได้ใส่ข้อมูลเหล่านี้

ในทางกลับกัน ข้อความ Company Name สามารถถูกใส่ลงในไฟล์ได้ จึงไม่ควรใช้เป็นหลักฐานยืนยันเพียงอย่างเดียว ต้องตรวจสอบ Digital Signature และตำแหน่งไฟล์ร่วมด้วย

19. วิธีตรวจสอบ Digital Signature

Process Explorer สามารถตรวจสอบลายเซ็นดิจิทัลของไฟล์ เพื่อดูว่าไฟล์ลงนามโดยผู้เผยแพร่รายใดและลายเซ็นตรวจสอบผ่านหรือไม่

วิธีเปิดคอลัมน์ที่เกี่ยวข้อง:

เปิดเมนูสำหรับเลือก Columns
เลือกหมวด Process Image
เปิด Verified Signer
ยืนยันการตั้งค่า
รอให้โปรแกรมตรวจสอบข้อมูล

ผลลัพธ์ที่อาจพบ เช่น

Verified
Unable to Verify
No Signature
Verification Failed

ไฟล์ที่ Verified ช่วยยืนยันว่าลายเซ็นตรงกับผู้เผยแพร่และไฟล์ไม่ถูกเปลี่ยนแปลงหลังลงนามตามเงื่อนไขการตรวจสอบ แต่ไม่ได้รับประกันว่าโปรแกรมนั้นเหมาะสมหรือปลอดภัยทุกกรณี

20. VirusTotal ใน Process Explorer คืออะไร

Process Explorer รองรับการส่งค่า Hash ของไฟล์ไปตรวจสอบกับบริการ VirusTotal และแสดงผลเป็นจำนวนระบบตรวจจับเทียบกับจำนวนระบบที่ตรวจสอบ

ตัวอย่างรูปแบบผลลัพธ์:


0/70

หมายถึงไม่มีระบบตรวจจับจากจำนวนระบบที่แสดงในขณะตรวจสอบ ส่วนตัวเลขมากกว่าศูนย์หมายความว่ามีบางระบบแจ้งเตือน

จำนวนจริงอาจเปลี่ยนแปลงตามช่วงเวลาและระบบตรวจจับที่เข้าร่วม

วิธีเปิดใช้งาน VirusTotal

เปิด Process Explorer
เข้าเมนู Options
เลือกเมนูที่เกี่ยวข้องกับ VirusTotal
เปิดการตรวจสอบ
อ่านเงื่อนไขของบริการ
ยอมรับเมื่อเข้าใจแล้ว
เปิดคอลัมน์ VirusTotal หากยังไม่แสดง

ควรอ่านข้อตกลงและนโยบายความเป็นส่วนตัวก่อนใช้งาน โดยเฉพาะตัวเลือกที่อาจส่งไฟล์ซึ่งไม่เคยถูกตรวจสอบขึ้นไปยังบริการภายนอก

21. อ่านผล VirusTotal อย่างไรให้ถูกต้อง

ผลตรวจจับไม่ควรถูกตีความจากตัวเลขอย่างเดียว

ผลเป็น 0

ไม่ได้รับประกันว่าไฟล์ปลอดภัย เพราะภัยคุกคามใหม่หรือไฟล์ที่ถูกปรับแต่งอาจยังไม่ถูกตรวจพบ

มีระบบแจ้งเตือนเพียงเล็กน้อย

อาจเป็น False Positive โดยเฉพาะเครื่องมือดูแลระบบ โปรแกรมเก่า หรือโปรแกรมที่ใช้เทคนิคเฉพาะ ควรตรวจสอบชื่อการตรวจจับและแหล่งไฟล์เพิ่ม

มีหลายระบบแจ้งเตือนตรงกัน

ควรหยุดใช้งานไฟล์ แยกไฟล์ออกจากการทำงาน และสแกนระบบด้วย Microsoft Defender หรือเครื่องมือรักษาความปลอดภัยที่องค์กรกำหนด

ไม่ควรคลิกผลลัพธ์หรือส่งไฟล์งานภายในที่เป็นความลับไปยังบริการสาธารณะโดยไม่ได้รับอนุญาต

22. วิธีหา Process ที่น่าสงสัย

ไม่มีลักษณะเดียวที่ยืนยันว่า Process เป็นมัลแวร์ แต่สามารถพิจารณาหลายปัจจัยร่วมกันได้

สิ่งที่ควรตรวจสอบ ได้แก่

ชื่อคล้ายไฟล์ระบบแต่สะกดผิด
ไม่มี Description และ Company Name
ไม่มี Digital Signature
อยู่ในโฟลเดอร์ชั่วคราว
Path ไม่ตรงกับชื่อโปรแกรม
Parent Process ไม่สอดคล้องกับการใช้งาน
Command Line มี Script หรือ Parameter ผิดปกติ
ใช้ CPU หรือ Network ต่อเนื่องโดยไม่ทราบเหตุผล
เปิดกลับมาทันทีหลังปิด
ทำงานจากบัญชีหรือ Integrity Level ที่ไม่คาดคิด
มีผลตรวจจับจากหลายระบบ
เปิด Handle ไปยัง Process อื่นอย่างผิดปกติ

ควรสแกนไฟล์และตรวจสอบรายการ Startup, Scheduled Task และ Service ประกอบกัน ไม่ควรลบไฟล์ทันทีจากข้อมูลเพียงจุดเดียว

23. ชื่อไฟล์ระบบที่มักทำให้สับสน

Windows มี Process หลายรายการที่ชื่อไม่คุ้นเคย เช่น

svchost.exe
csrss.exe
services.exe
lsass.exe
winlogon.exe
smss.exe
dwm.exe
conhost.exe
taskhostw.exe
RuntimeBroker.exe

ไฟล์ระบบที่ถูกต้องมักอยู่ในตำแหน่งมาตรฐานของ Windows และมีลายเซ็นจาก Microsoft แต่มัลแวร์อาจใช้ชื่อคล้ายกันหรือวางไฟล์ไว้คนละโฟลเดอร์

จึงต้องตรวจสอบ Path และ Verified Signer ไม่ใช่พิจารณาจากชื่อเพียงอย่างเดียว

24. วิธีค้นหาว่าโปรแกรมใดล็อกไฟล์

หากลบ ย้าย หรือเปลี่ยนชื่อไฟล์ไม่ได้ เพราะ Windows แจ้งว่าไฟล์กำลังถูกใช้งาน ให้ทำดังนี้

เปิด Process Explorer
เลือกเมนู Find
เลือก Find Handle or DLL
พิมพ์ชื่อไฟล์หรือบางส่วนของ Path
คลิก Search
ดู Process ที่พบ
ดับเบิลคลิกผลลัพธ์เพื่อไปยัง Process
บันทึกงานในโปรแกรมที่เกี่ยวข้อง
ปิดโปรแกรมตามปกติ
ลองจัดการไฟล์ใหม่

หากเป็นไฟล์เอกสาร อาจถูกล็อกโดยโปรแกรมแก้ไข ระบบสำรองข้อมูล โปรแกรมซิงก์ Cloud หรือ Antivirus ที่กำลังสแกนอยู่

25. Handle คืออะไร

Handle เป็นตัวอ้างอิงที่ Process ใช้เข้าถึงทรัพยากรของ Windows เช่น

ไฟล์
โฟลเดอร์
Registry Key
Process
Thread
Event
Mutex
Section
Token
Named Pipe

Process หนึ่งสามารถเปิด Handle ได้หลายร้อยหรือหลายพันรายการตามลักษณะงาน

จำนวน Handle ที่เพิ่มขึ้นต่อเนื่องโดยไม่ลดลงอาจเป็นสัญญาณของ Handle Leak แต่ต้องสังเกตเป็นระยะและเปรียบเทียบกับพฤติกรรมของโปรแกรม

26. DLL คืออะไร

DLL หรือ Dynamic Link Library เป็นไฟล์ที่เก็บชุดคำสั่งและทรัพยากรซึ่งหลายโปรแกรมสามารถเรียกใช้ร่วมกันได้

Process Explorer สามารถแสดง DLL ที่ Process โหลดอยู่ ช่วยตรวจสอบว่า

โปรแกรมโหลด Library ใด
DLL อยู่ในโฟลเดอร์ใด
DLL เป็นของบริษัทใด
มีลายเซ็นดิจิทัลหรือไม่
โปรแกรมอาจโหลด DLL ผิดเวอร์ชันหรือไม่
มีส่วนเสริมหรือ Module ใดแทรกเข้ามา

การพบ DLL ที่ไม่รู้จักไม่ควรนำไปสู่การลบทันที เพราะ DLL อาจเป็นส่วนสำคัญของโปรแกรมหรือ Windows

27. วิธีเปิด Lower Pane

Process Explorer มี Lower Pane สำหรับแสดงรายละเอียดของ Process ที่เลือก

โดยทั่วไปสามารถเปิดได้จากเมนู View หรือใช้คีย์ลัดที่โปรแกรมกำหนด จากนั้นเลือกโหมดแสดงข้อมูลเป็น

Handles
DLLs

เมื่อคลิก Process ด้านบน รายการด้านล่างจะเปลี่ยนตาม Process นั้น

ควรใช้โหมดใด

ใช้ Handles เมื่อต้องการตรวจสอบไฟล์ Registry หรือ Object ที่ Process เปิดอยู่
ใช้ DLLs เมื่อต้องการตรวจสอบ Library และ Module ที่ถูกโหลด

28. วิธีวิเคราะห์ svchost.exe

svchost.exe เป็น Process สำหรับรองรับ Windows Services หลายรายการ จึงเป็นเรื่องปกติที่เครื่องจะมี svchost.exe หลาย Process

วิธีตรวจสอบ:

ค้นหา svchost.exe
เลือก Process ที่ใช้ทรัพยากรสูง
เปิด Properties
ดูแท็บ Services
ตรวจสอบรายชื่อ Service ภายใน
ดู Command Line
ตรวจสอบ Path และ Verified Signer
ดู Network หรือ Threads หากจำเป็น

ไม่ควรปิด svchost.exe แบบสุ่ม เพราะอาจหยุด Network, Audio, Windows Update หรือบริการสำคัญของระบบ

หาก Service หนึ่งใช้ทรัพยากรสูง ควรค้นหาสาเหตุของ Service นั้นแทนการปิด Process ทั้งกลุ่ม

29. วิธีดู Thread ที่ใช้ CPU สูง

หาก Process หนึ่งใช้ CPU สูง แต่ยังไม่รู้ว่าส่วนใดเป็นต้นเหตุ สามารถเปิด Properties แล้วดูแท็บ Threads

ข้อมูลที่อาจพบ ได้แก่

Thread ID
CPU Usage
Cycles
Start Address
Module ที่เกี่ยวข้อง
Stack ตามสิทธิ์และ Symbol ที่มี

สำหรับผู้ใช้ทั่วไป ชื่อ Module ที่ Thread เริ่มทำงานช่วยบอกได้ว่าปัญหาเกี่ยวข้องกับตัวโปรแกรม DLL, Driver หรือส่วนเสริมใด

ไม่ควร Suspend หรือ Kill Thread แบบสุ่ม เพราะอาจทำให้ Process ค้างหรือข้อมูลเสียหาย

30. วิธีตรวจสอบ Network Connection

Process Explorer สามารถแสดงข้อมูล TCP/IP ของ Process ได้ใน Properties ตามความสามารถของ Process และเวอร์ชันโปรแกรม

ข้อมูลที่ควรดู ได้แก่

Local Address
Local Port
Remote Address
Remote Port
Connection State
Protocol

หากต้องการดูการเชื่อมต่อทั้งหมดแบบเรียลไทม์ เครื่องมือ TCPView จาก Sysinternals จะเหมาะกว่า

การพบการเชื่อมต่อภายนอกไม่ใช่หลักฐานว่าโปรแกรมผิดปกติ เพราะโปรแกรมอาจกำลังตรวจสอบอัปเดต ซิงก์ข้อมูล หรือเชื่อมต่อ Cloud Service

31. วิธีหยุด Process อย่างปลอดภัย

ก่อนหยุด Process ควรทำตามลำดับนี้

ระบุว่า Process เป็นของโปรแกรมใด
บันทึกงานที่เปิดอยู่
ปิดโปรแกรมด้วยปุ่ม Close ตามปกติ
รอส2. บันทึกงานที่เปิดอยู่
ปิดักครู่ให้โปรแกรมปิด
ตรวจสอบว่า Process ยังทำงานหรือไม่
หากโปรแกรมค้างจริง จึงใช้ Kill Process
ตรวจสอบผลกระทบหลังปิด

การ Kill Process จะหยุดการทำงานทันที โปรแกรมอาจไม่มีโอกาสบันทึกไฟล์ ตั้งค่าหรือฐานข้อมูลให้สมบูรณ์

32. Kill Process Tree คืออะไร

Kill Process Tree ใช้หยุด Process ที่เลือกพร้อม Child Process ที่อยู่ภายใต้ Tree นั้น

เหมาะกับกรณี เช่น

โปรแกรมเปิด Process ย่อยจำนวนมาก
Browser ค้างทั้งชุด
โปรแกรมหลักปิดแต่ Process ลูกยังค้าง
ชุดโปรแกรมทดสอบเปิดหลายองค์ประกอบ
Installer ค้างพร้อม Process ย่อย

คำสั่งนี้มีผลกระทบมากกว่า Kill Process ปกติ ควรตรวจสอบ Tree ให้แน่ใจว่าไม่มี Process อื่นที่ยังต้องใช้งานอยู่

33. Suspend Process คืออะไร

Suspend จะหยุดการทำงานของ Process ชั่วคราวโดยยังไม่ปิด Process

อาจใช้สำหรับการวิเคราะห์ในห้องทดลอง เช่น หยุด Process ที่ใช้ CPU ชั่วคราวเพื่อสังเกตผล แต่มีความเสี่ยงที่โปรแกรมหรือระบบจะค้างหาก Process นั้นถือ Lock หรือให้บริการ Process อื่นอยู่

Process ที่ถูก Suspend ต้องได้รับคำสั่ง Resume จึงจะกลับมาทำงาน

ไม่ควร Suspend Process ระบบหรือโปรแกรมที่กำลังบันทึกข้อมูล

34. Restart Process คืออะไร

Process Explorer อาจมีความสามารถ Restart สำหรับ Process บางประเภท โดยโปรแกรมจะปิด Process เดิมแล้วเปิดขึ้นใหม่

เหมาะกับ Process ที่สามารถเริ่มใหม่ได้อย่างปลอดภัย แต่ไม่ควรใช้กับ

Process ระบบที่ไม่รู้จัก
โปรแกรมที่มีเอกสารยังไม่บันทึก
Database
Installer
โปรแกรมอัปเดต Firmware
โปรแกรมที่กำลังเขียนไฟล์สำคัญ

การ Restart Process ไม่ได้แก้สาเหตุของปัญหาเสมอไป หากอาการกลับมาเกิดซ้ำ ควรตรวจสอบ Log และทรัพยากรเพิ่มเติม

35. Set Priority ใช้อย่างไร

Process Explorer สามารถปรับ Priority ของ Process เพื่อกำหนดลำดับความสำคัญในการใช้ CPU

ระดับที่พบได้ เช่น

Idle
Below Normal
Normal
Above Normal
High
Real Time

ไม่ควรตั้งโปรแกรมทั่วไปเป็น Real Time เพราะอาจแย่งทรัพยากรจากส่วนสำคัญของ Windows จนเมาส์ คีย์บอร์ด หรือระบบตอบสนองช้า

การเพิ่ม Priority ไม่ได้ทำให้ CPU เร็วขึ้น เพียงเปลี่ยนลำดับการจัดสรรเวลาประมวลผล และค่าบางอย่างอาจกลับเป็นค่าเดิมเมื่อเปิดโปรแกรมใหม่

36. Set Affinity คืออะไร

Affinity ใช้กำหนดว่า Process สามารถทำงานบน Logical Processor ใดได้บ้าง

ความสามารถนี้เหมาะกับ

ทดสอบโปรแกรมบนจำนวน Core ที่จำกัด
วิเคราะห์ปัญหาเฉพาะทาง
โปรแกรมเก่าที่มีปัญหากับหลาย Core
ห้องทดลองด้านประสิทธิภาพ

สำหรับการใช้งานทั่วไป ควรปล่อยให้ Windows จัดการ Processor Affinity เอง การจำกัด Core อาจทำให้โปรแกรมทำงานช้าลง และค่ามักไม่ถาวรหลังเปิดโปรแกรมใหม่

37. Integrity Level คืออะไร

Integrity Level เป็นส่วนหนึ่งของระบบความปลอดภัย Windows ใช้จำกัดว่ากระบวนการหนึ่งสามารถเปลี่ยนแปลง Object ระดับใดได้

ระดับที่อาจพบ ได้แก่

Low
Medium
High
System
AppContainer ตามประเภท Process

โปรแกรมทั่วไปมักทำงานที่ Medium ส่วนโปรแกรมที่เปิดด้วย Run as administrator มักทำงานที่ High

หาก Process ที่ไม่ควรมีสิทธิ์สูงกำลังทำงานที่ High หรือ System ควรตรวจสอบว่าเปิดมาจาก Service, Scheduled Task หรือกลไกใด

38. Protected Process คืออะไร

Windows ใช้กลไก Protected Process และ Protected Process Light เพื่อจำกัดการเข้าถึง Process สำคัญบางประเภท แม้ผู้ใช้จะเปิดเครื่องมือด้วยสิทธิ์ Administrator

จึงอาจเกิดกรณีที่ Process Explorer ไม่สามารถ

อ่านรายละเอียดบางส่วน
เปิด Handle บางประเภท
ดู Memory
หยุด Process
แสดงข้อมูล Thread ครบทั้งหมด

ข้อจำกัดดังกล่าวอาจเป็นส่วนหนึ่งของระบบรักษาความปลอดภัย ไม่ควรพยายามปิดหรือหลีกเลี่ยงกลไกป้องกันเพียงเพื่อดูข้อมูลเพิ่มเติม

39. วิธีบันทึกข้อมูลจาก Process Explorer

เมื่อต้องส่งข้อมูลให้ฝ่าย IT ควรบันทึกรายละเอียดที่เกี่ยวข้อง เช่น

ชื่อ Process
PID
CPU และ Memory
Image Path
Command Line
Parent Process
Verified Signer
Start Time
Service ที่เกี่ยวข้อง
เวลาที่เกิดปัญหา
ขั้นตอนที่ทำให้ปัญหาเกิดขึ้น

สามารถใช้คำสั่ง Save หรือ Export ตามรูปแบบที่โปรแกรมรองรับ หรือถ่ายภาพหน้าจอเฉพาะส่วนที่ไม่มีข้อมูลส่วนตัว

ก่อนแชร์ภาพหรือไฟล์รายงาน ควรปกปิด

ชื่อบัญชีผู้ใช้
Path ที่มีชื่อบุคคล
Token
URL ภายในองค์กร
ชื่อ Server
ภ IP Address ภายใน
Command Line ที่มีรหัสผ่านหรือ Secret

40. วิธีตั้ง Process Explorer แทน Task Manager

Process Explorer มีตัวเลือกสำหรับแทนที่ Task Manager ในบางเวอร์ชัน โดยเมื่อเรียก Task Manager ระบบจะเปิด Process Explorer แทน

ก่อนตั้งค่า ควร

เก็บไฟล์ Process Explorer ไว้ในตำแหน่งถาวร
ไม่ย้ายหรือลบไฟล์หลังตั้งค่า
เปิดโปรแกรมด้วยสิทธิ์ที่จำเป็น
ตรวจสอบวิธียกเลิกการแทนที่
ไม่ตั้งจากไฟล์ที่อยู่ในโฟลเดอร์ดาวน์โหลดชั่วคราว

ผู้ใช้ทั่วไปไม่จำเป็นต้องแทนที่ Task Manager เพราะสามารถปักหมุด Process Explorer ไว้ที่ Start หรือ Taskbar แล้วเลือกใช้ตามสถานการณ์ได้

41. Process Explorer เปิดไม่ได้

หากโปรแกรมเปิดไม่ได้ ให้ตรวจสอบดังนี้

แตกไฟล์ออกจาก ZIP แล้ว
ดาวน์โหลดจาก Microsoft
ไฟล์ไม่ถูก Block
เลือกเวอร์ชันที่ตรงกับระบบ
ทดลอง Run as administrator
ตรวจสอบ Microsoft Defender Protection History
ตรวจสอบ Digital Signature
ดาวน์โหลดไฟล์ใหม่
ย้ายไปยัง Path สั้น เช่น C:\Tools
ตรวจสอบ Event Viewer หากโปรแกรมปิดเอง

ไม่ควรปิด Microsoft Defender ถาวรเพื่อบังคับเปิดไฟล์ที่ยังยืนยันแหล่งที่มาไม่ได้

42. มองไม่เห็น Process บางรายการ

สาเหตุที่ข้อมูลไม่ครบอาจเกิดจาก

ไม่ได้เปิดแบบ Administrator
Process ถูกป้องกันโดย Windows
Process เปิดและปิดเร็วมาก
Filter ซ่อน Process บางประเภท
Process อยู่ใน Session ของผู้ใช้อื่น
โปรแกรมเวอร์ชันเก่า
ระบบรักษาความปลอดภัยจำกัดการเข้าถึง

ลองเปิดแบบ Administrator และตรวจสอบ Filter ก่อน หากยังอ่านข้อมูลไม่ได้ อาจเป็นข้อจำกัดด้านความปลอดภัยของระบบตามปกติ

43. Process ปิดแล้วเปิดกลับมาเอง

หาก Kill Process แล้ว Process เปิดกลับมา อาจมีตัวควบคุมอยู่เบื้องหลัง เช่น

Windows Service
Scheduled Task
Startup Entry
Watchdog Process
โปรแกรมหลัก
Browser Extension
Management Agent ขององค์กร
ระบบอัปเดต
ซอฟต์แวร์รักษาความปลอดภัย

ควรตรวจสอบ Parent Process, Service, Autoruns และ Task Scheduler เพื่อหาต้นทาง ไม่ควร Kill ซ้ำอย่างเดียว เพราะไม่ได้หยุดกลไกที่เรียก Process ขึ้นมา

44. Process ใช้ CPU สูงแต่ปิดไม่ได้

อาจเกิดจาก

Process ทำงานด้วยสิทธิ์สูงกว่า
เป็น Process ระบบที่ได้รับการป้องกัน
Driver กำลังรอ I/O
Process อยู่ในสถานะค้างระดับ Kernel
โปรแกรมรักษาความปลอดภัยป้องกันตนเอง
Windows กำลังติดตั้งอัปเดต
ดิสก์หรืออุปกรณ์เชื่อมต่อไม่ตอบสนอง

ก่อนรีสตาร์ตเครื่อง ควรบันทึกงานทั้งหมด หากอาการเกิดซ้ำให้จดชื่อ Process เวลา และกิจกรรมก่อนเกิดปัญหาเพื่อใช้วิเคราะห์ต่อ

45. Process Explorer ทำให้เครื่องช้าหรือไม่

โดยทั่วไป Process Explorer ใช้ทรัพยากรไม่มาก แต่การเปิดความสามารถบางอย่างอาจเพิ่มภาระ เช่น

ตรวจสอบ Signature จำนวนมาก
ตรวจสอบ VirusTotal
ตั้ง Update Speed เร็วมาก
เปิดกราฟหรือคอลัมน์จำนวนมาก
ตรวจสอบ DLL และ Handle ต่อเนื่อง
เปิดใช้งาน Symbol และ Stack Analysis

หากเครื่องสเปกต่ำ ให้ลด Update Speed และเปิดเฉพาะคอลัมน์ที่จำเป็น

46. ข้อผิดพลาด Symbol ไม่แสดง

การวิเคราะห์ Thread Stack และ Module เชิงลึกอาจต้องใช้ Debugging Symbols และการตั้งค่า Symbol Path ที่ถูกต้อง

หาก Symbol ไม่แสดง อาจเกิดจาก

ไม่มี Debugging Components ที่จำเป็น
Symbol Path ไม่ถูกต้อง
ไม่สามารถดาวน์โหลด Symbol
ไม่มี Symbol สำหรับโปรแกรมนั้น
เวอร์ชันไฟล์ไม่ตรง
ไม่มีสิทธิ์เข้าถึง Path
เครือข่ายองค์กรบล็อกการเชื่อมต่อ

สำหรับผู้ใช้ทั่วไป ไม่จำเป็นต้องตั้งค่า Symbol หากเพียงตรวจสอบ CPU, RAM, Path และ Digital Signature

47. วิธีใช้งาน Process Explorer อย่างปลอดภัย

หลักการสำคัญมีดังนี้

ดาวน์โหลดจาก Microsoft เท่านั้น
เริ่มต้นด้วยการตรวจสอบข้อมูล
อย่าปิด Process ที่ไม่รู้จักทันที
บันทึกงานก่อน Kill Process
ตรวจสอบ Path และ Signature
ดู Parent Process และ Command Line
พิจารณาผล VirusTotal อย่างมีบริบท
อย่าเปลี่ยน Priority เป็น Real Time
อย่าปิด Handle หรือ Thread แบบสุ่ม
หลีกเลี่ยงการแก้ Process ระบบ
บันทึกค่าก่อนเปลี่ยนแปลง
ทดสอบงานขั้นสูงใน Virtual Machine

แนวทางของ comsiam คือใช้ Process Explorer เพื่อหาหลักฐานและต้นเหตุ ไม่ใช่เปิดแล้วไล่ปิดทุก Process ที่ไม่คุ้นชื่อ

48. คำถามที่พบบ่อยเกี่ยวกับ Process Explorer

Process Explorer ฟรีหรือไม่

Process Explorer เป็นส่วนหนึ่งของ Windows Sysinternals และดาวน์โหลดได้จาก Microsoft ภายใต้เงื่อนไขการใช้งานที่กำหนด

ต้องติดตั้งหรือไม่

โดยทั่วไปสามารถแตกไฟล์ ZIP แล้วเปิดโปรแกรมได้ทันที จึงเหมาะกับการพกพาและใช้งานหลายเครื่อง

ใช้แทน Task Manager ได้ไหม

ใช้ได้สำหรับการตรวจสอบ Process และมีรายละเอียดมากกว่า แต่ Task Manager ยังเหมาะกับงานทั่วไปและการดู Startup หรือ Performance แบบรวดเร็ว

Process สีแดงหมายถึงไวรัสหรือไม่

ไม่ใช่ สีอาจหมายถึง Process ที่กำลังปิดตามการตั้งค่า Color ของโปรแกรม ต้องตรวจสอบความหมายใน Color Selection

Process ไม่มี Company Name เป็นไวรัสหรือไม่

ไม่จำเป็น โปรแกรมปกติบางตัวไม่มีข้อมูลบริษัท ต้องตรวจสอบ Path, Signature, Parent Process และพฤติกรรมร่วมกัน

ผล VirusTotal 1 รายการหมายถึงติดไวรัสหรือไม่

ยังสรุปไม่ได้ อาจเป็น False Positive ควรดูชื่อการตรวจจับ จำนวนระบบที่เห็นตรงกัน แหล่งดาวน์โหลด และลายเซ็นไฟล์

ปิด svchost.exe ได้หรือไม่

ไม่ควรปิดแบบสุ่ม เพราะเป็น Process ที่รองรับ Windows Services ควรตรวจสอบแท็บ Services เพื่อหา Service ที่เกี่ยวข้องก่อน

Process Explorer ลบมัลแวร์ได้หรือไม่

Process Explorer สามารถหยุด Process ได้ แต่ไม่ได้ทำหน้าที่กำจัดภัยคุกคามอย่างครบวงจร ควรใช้ Microsoft Defender หรือระบบรักษาความปลอดภัยที่เชื่อถือได้ตรวจสอบต่อ

ทำไม Process ที่ Kill แล้วกลับมาอีก

Process อาจถูกเรียกโดย Service, Scheduled Task, Startup Entry หรือ Watchdog ต้องค้นหากลไกที่เปิด Process ไม่ใช่หยุดเฉพาะตัว Process

มือใหม่ใช้ Process Explorer ได้หรือไม่

ใช้ได้ โดยควรเริ่มจากการดู CPU, RAM, Path, Company Name และ Verified Signer ก่อน หลีกเลี่ยงเมนู Kill, Suspend และเปลี่ยน Priority จนกว่าจะเข้าใจผลกระทบ

49. สรุปวิธีใช้ Process Explorer บน Windows 10

Process Explorer เป็นเครื่องมือวิเคราะห์ Process จาก Microsoft Sysinternals ที่แสดงรายละเอียดมากกว่า Task Manager ช่วยตรวจสอบโปรแกรมใช้ CPU สูง กิน RAM ไฟล์ถูกล็อก Service ภายใน svchost.exe รวมถึงตำแหน่งไฟล์และ Digital Signature

เมื่อตรวจพบ Process ชื่อแปลก ควรวิเคราะห์จากหลายข้อมูลร่วมกัน ได้แก่ Image Path, Command Line, Parent Process, Company Name, Verified Signer, การใช้ทรัพยากร และผลตรวจสอบจากระบบรักษาความปลอดภัย

อย่า Kill Process เพียงเพราะชื่อไม่คุ้นเคย และอย่าตีความผล VirusTotal จากตัวเลขเดียว หากเป็น Process ระบบหรือไม่แน่ใจว่าทำหน้าที่อะไร ควรบันทึกข้อมูลและตรวจสอบเพิ่มเติมก่อนเปลี่ยนแปลง สำหรับการใช้งานครั้งแรก comsiam แนะนำให้ใช้ Process Explorer ในโหมดตรวจสอบก่อน แล้วจึงเรียนรู้คำสั่งจัดการ Process ภายหลัง