如何配置Process Monitor启动时停止所有日志组件记录并设置过滤

我之前也碰到过完全一样的困扰——Process Monitor一启动就猛抓所有日志，内存蹭蹭涨，根本来不及点停止和设置过滤器。好在它其实支持命令行参数和配置文件加载，完美解决这个问题：

方法1：用命令行参数启动，直接停止捕获 #

Process Monitor自带一个/nocapture参数，启动时加上它就会默认处于停止记录的状态（相当于启动后自动帮你按了CTRL+E）：

• 打开CMD或者PowerShell
• 切换到Process Monitor的安装目录（默认一般是C:\Program Files\SysinternalsSuite）
• 执行命令：

  procmon.exe /nocapture
  

  启动后你会看到界面上的捕获按钮是灰色的（停止状态），这时候慢慢设置你的特定路径File I/O过滤器就行，完全不用担心内存爆掉。

方法2：加载预设过滤器+启动即停止捕获 #

如果不想每次都手动设置过滤器，可以先把你的过滤规则保存成配置文件，下次启动直接加载：

1. 先正常启动Process Monitor（如果之前卡了就用任务管理器结束进程），马上按CTRL+E停止捕获
2. 设置好你的过滤规则：比如在「Filter」菜单里添加Path包含你要监控的特定路径，同时把Event Class限定为File System，去掉Registry、Network等无关项
3. 点击「File > Save」，选择保存为.PMC格式的配置文件
4. 下次启动时用这条命令：

   procmon.exe /nocapture /loadconfig "C:\Your\Config\Path\CustomFilter.pmc"
   

   这样启动后不仅是停止捕获状态，还直接加载了你预设的过滤器，一步到位。

懒人技巧：创建带参数的快捷方式 #

如果不想每次敲命令，可以把参数加到快捷方式里：

• 右键Process Monitor的快捷方式→「属性」
• 在「目标」栏的末尾加上 /nocapture（注意前面有空格），比如：

  "C:\Program Files\SysinternalsSuite\procmon.exe" /nocapture
  

  双击这个快捷方式就能直接以停止捕获的状态启动了，非常方便。

内容的提问来源于stack exchange，提问作者Sundar Rajan