WMI 进程监视使用过多的 CPU！ 还有更好的方法吗？

Question

我需要观察 Windows 计算机上某些进程何时启动或停止。 我目前正在使用 WMI 系统并每 5 秒查询一次，但这会导致每 5 秒出现一次 CPU 峰值，因为 WMI 是 WMI。 有更好的方法吗？ 我可以创建一个正在运行的进程列表，并通过 System.Diagnostics 命名空间将 Exited 事件附加到它们，但没有用于创建的事件处理程序。

Answer 1

这并不完全是您在现实世界中的做法，但应该会有所帮助。 这似乎对我的 CPU 没有太大的推动作用。

    static void Main(string[] args)
    {
        // Getting all instances of notepad
        // (this is only done once here so start up some notepad instances first)
        // you may want use GetProcessByPid or GetProcesses and filter them as required
        Process[] processesToWatch = Process.GetProcessesByName("notepad");

        foreach (var process in processesToWatch)
        {
            process.EnableRaisingEvents = true;
            process.Exited +=
                (s, e) => Console.WriteLine("An instance of notepad exited");
        }

        Thread watchThread = new Thread(() =>
            {
                while (true)
                {
                    Process[] processes = Process.GetProcesses();
                    foreach (var process in processes)
                    {
                        Console.WriteLine("{0}:{1}", process.Id, process.ProcessName);
                    }
                    // Don't dedicate a thread to this like I'm doing here
                    // setup a timer or something similiar
                    Thread.Sleep(2000);
                }
            });
        watchThread.IsBackground = true;
        watchThread.Start();

        Console.WriteLine("Polling processes and waiting for notepad process exit events");
        Console.ReadLine();
    }

Answer 2

我在这里的回答提到了 WMI 以外的替代方案：https://stackoverflow.com/a/50315772/3721646
如果设计不当，WMI 查询可能会消耗大量 CPU 性能。 如果使用 Win32_Process 类的内部事件来跟踪进程创建事件，则会严重影响性能。 另一种方法是利用安全审核日志。 您可以使用本地安全策略启用进程跟踪，或者在多台计算机的情况下使用 GPO。 进程跟踪开始后，您可以使用自定义 XML 查询订阅安全事件日志，以监控您感兴趣的某些进程。 进程创建事件 ID 为 4688。`

<QueryList>
 <Query Id="0" Path="Security">
   <Select Path="Security">
       *[EventData[Data[@Name='NewProcessName'] ='C:\Windows\explorer.exe']]
       and
       *[System[(EventID=4688)]]
   </Select>
 </Query>
</QueryList>

Answer 3

如果您只想查找进程的 PID/名称，您可能希望使用 WQL 查询来获取 Win32_ProcessTrace 事件，例如“SELECT * FROM Win32_ProcessTrace WHERE TargetInstance.ProcessName = 'name'”如果适用* 。

使用“SELECT * FROM __InstanceModificationEvent Within 10 WHERE TargetInstance ISA 'Win32Process' AND TargetInstance.Name = 'name'”的陷阱在于它在后端的工作方式。 如果您检查 %windir%\system32\wbem\logs 目录中的 wbemess.log，您将注意到以下日志（使用 __InstanceDeletionEvent）：

(Wed Jul 22 13:58:31 2009.73889577) : Registering notification sink with query select * from __InstanceDeletionEvent within 10 where TargetInstance ISA 'Win32_Process' in namespace //./root/CIMV2.
(Wed Jul 22 13:58:31 2009.73889577) : Activating filter 047209E0 with query select * from __InstanceDeletionEvent within 10 where TargetInstance ISA 'Win32_Process' in namespace //./root/CIMV2.
(Wed Jul 22 13:58:31 2009.73889577) : Activating filter 0225E560 with query select * from __ClassOperationEvent where TargetClass isa "Win32_Process" in namespace //./root/CIMV2.
(Wed Jul 22 13:58:31 2009.73889577) : Activating filter 'select * from __ClassOperationEvent where TargetClass isa "Win32_Process"' with provider $Core
(Wed Jul 22 13:58:31 2009.73889587) : Activating filter 'select * from __InstanceDeletionEvent within 10 where TargetInstance ISA 'Win32_Process'' with provider $Core
(Wed Jul 22 13:58:31 2009.73889587) : Instituting polling query select * from Win32_Process to satisfy event query select * from __InstanceDeletionEvent within 10 where TargetInstance ISA 'Win32_Process'
(Wed Jul 22 13:58:31 2009.73889587) : Executing polling query 'select * from Win32_Process' in namespace '//./root/CIMV2'
(Wed Jul 22 13:58:31 2009.73889697) : Polling query 'select * from Win32_Process' done
(Wed Jul 22 13:58:41 2009.73899702) : Executing polling query 'select * from Win32_Process' in namespace '//./root/CIMV2'
(Wed Jul 22 13:58:41 2009.73899792) : Polling query 'select * from Win32_Process' done

如您所见，远程计算机上的实际事件实现是针对 Win32_Process 执行查询在由WITHIN 子句中的值指定的间隔上。 因此，在该轮询中启动和停止的任何进程都不会触发事件。

您可以将WITHIN子句设置为一个较小的值，以尽量减少这种影响，但更好的解决方案是使用像Win32_ProcessTrace这样的真实事件，它应该始终触发。

*请注意，MSDN 表明 Win32_ProcessTrace 至少需要客户端计算机上的 Windows XP 和服务器计算机上的 Windows 2003 才能工作。 如果您使用的是较旧的操作系统，则可能会因使用 __InstanceModificationEvent 查询而陷入困境。

Answer 4

在侦听 WMI 事件时，如果我未能在退出/清理时正确地从事件中分离，我会遇到 CPU 峰值。 您可能需要检查是否“泄漏”了 WMI 事件订阅。 以防万一，尽早脱离活动，并确保你始终这样做。

为了进一步说明，这里有一个来自 我的 PowerShell 书籍 的示例，该示例侦听 WMI 事件使用 PSEventing 库：

添加 PSSnapin PSEventing -ErrorAction
默默地继续

$queryString = @'
选择 *
来自 __InstanceModificationEvent
10以内
在哪里
目标实例 ISA“Win32_Service”
AND TargetInstance.Name = 'w3svc'
AND TargetInstance.State = '已停止' '@

$query = 新对象 System.Management.WQLEventQuery `
-argumentList $queryString

$watcher = 新对象
System.Management.ManagementEventWatcher($query)

Connect-EventListener 观察者
活动已到达

$watcher.Start()

echo“等待W3CSVC服务
停止...” Get-Event -wait |
foreach {
Write-Host -foreground 红色“W3SVC 服务已停止！”
}

$watcher.Stop()

Disconnect-EventListener 观察器 EventArrived

回显“完成”

如果我​​在脚本退出时不执行 Disconnect-EventListener 位，我会在第三次或第四次附加到事件。 我的猜测是系统仍在尝试传递事件。