🐧 ProcMon-for-Linux: когда Sysinternals приходит в мир open source

Краткое описание: лупа над древом процессов, вокруг иконки файлов, сокетов, CPU/памяти и панель фильтров; внизу цилиндр-«база» принимает поток событий — визуальная метафора ProcMon-for-Linux: наблюдение системных вызовов и запись в SQLite, без текста и брендов.

Если вы когда-нибудь отлаживали сложные сценарии на Windows, наверняка сталкивались с Process Monitor из набора Sysinternals. Это был инструмент «рентгена» системы: в реальном времени показывал, какие процессы читают или пишут файлы, лезут в реестр, открывают сокеты. Теперь у Linux-сообщества появился свой аналог — ProcMon-for-Linux, иронично выпущенный самой Microsoft.

⚡ Проект распространяется под MIT-лицензией, имеет уже более 4 000 звёзд и активно развивается. Его особенности:
🔎 Отслеживание системных вызовов — можно смотреть, какие syscall выполняет процесс, и фильтровать их по типу (read, openat, write).
🎯 Фильтрация по PID — наблюдать за конкретными приложениями, а не утопать в миллионах вызовов ядра.
📊 Headless-режим с записью в SQLite — удобно интегрировать с CI или анализировать логи постфактум.
🛠️ TUI-интерфейс — можно открыть сохранённую трассировку в интерактивном режиме.

Примеры команд выглядят элегантно:

# Трассировка всех процессов
sudo procmon

# Только процессы с PID 10 и 20
sudo procmon -p 10,20

# Мониторинг процесса 35 и запись событий в базу
sudo procmon -p 35 -c procmon.db

# Просмотр сохранённого лога
sudo procmon -f procmon.db

💡 С технической точки зрения интересно, что изначально проект зависел от BCC (BPF Compiler Collection), но позже команда Microsoft переписала реализацию на SysinternalsEBPF. Это облегчило сборку и сделало инструмент ближе к «родной» философии Linux: минимальные зависимости и упор на eBPF для работы в ядре.

Я бы отметил и образовательный потенциал: ProcMon-for-Linux может стать отличным инструментом для студентов системного программирования. Вместо того чтобы абстрактно учить таблицу системных вызовов, можно увидеть, как реально работает процесс — от открытия файла до работы с сетью.

Для продвинутых инженеров тут тоже масса пользы:
🕵️ поиск «утечек файловых дескрипторов»;
🧩 анализ зависаний и «подвисших» вызовов;
🌐 отладка нестандартных приложений внутри контейнеров и CI/CD-пайплайнов.

🎙️ Моё мнение: появление этого проекта — хороший знак, что даже такие «корпорации-динозавры», как Microsoft, начинают признавать ценность Linux-экосистемы. А сообщество получило инструмент, который раньше был эксклюзивом Windows-мира, да ещё и под свободной лицензией.

🔗 Источник: ProcMon-for-Linux на GitHub