As 5 ferramentas gratuitas mais úteis para administradores de sistemas Windows (I)

Juan Ignacio Oller Aznar

Um dos maiores problemas com que se depara um administrador de sistemas é a necessidade de “apagar incêndios” continuamente, resolvendo problemas que exigem ação imediata e gastando pouco tempo em atividades mais relevantes que permitem melhorar a infraestrutura em que operam. Não surpreende que existam estudos que dizem que o tempo que um técnico de sistema gasta a resolver problemas recorrentes representa mais ou menos 80% do seu dia, enquanto gasta apenas 20% do tempo em operações, melhoria, etc.

Desde Jotelulu acreditamos que podemos ajudar o SysAdmin a otimizar o seu tempo de trabalho, fazendo pequenas recomendações, como a que trazemos hoje: uma seleção de algumas das ferramentas mais úteis para a administração do sistema Windows.

Nesta ocasião, vamos analisar algumas das ferramentas fornecidas pela Microsoft, mas não de forma integrada com as suas versões do Windows. Nestes casos, é necessário fazer download da sua base de conhecimento, atualmente chamada “Microsoft Docs“, e onde residem grandes quantidades de manuais, documentação, tutoriais e até ferramentas como estas.

As ferramentas que abordaremos hoje estão todas incluídas no “Microsoft SysInternals“, um conjunto de ferramentas e suporte para técnicos de sistema, criado por Mark Russinovich em 1996.

Imagem: elementos da suite SysInternals

Como não temos tempo para analisá-las todos, vamos falar de 5 ferramentas que podem ser bastante úteis no dia a dia, e que provavelmente são as melhores entre todas as ferramentas SysInternals (pelo menos no nosso ponto de vista).

As ferramentas selecionadas são:

Process Explorer
Process Monitor
PsTools
AccessChk
TCPview

Process Explorer

Process Explorer é uma ótima ferramenta para resolução de problemas. Permite realizar uma análise exaustiva do desempenho do sistema, podendo encontrar problemas que estão a penalizar a performance, além de nos ajudar a detetar malware ou vírus.

Esta ferramenta mostra todos os processos em utilização no sistema, a estrutura de execução, e o uso de CPU e memória para cada processo. Permite também ver outras informações, como os comandos usados para iniciar o processo, o caminho para o processo executável e os serviços do sistema relacionados com o processo.

O Process Explorer permite ver, como no caso do gestor de tarefas, estatísticas básicas de recursos, mas também fornece o nome do fornecedor que criou o processo e uma descrição do que é o processo ou do que este executa.

Imagem: execução do Process Explorer no Windows 10

Process Monitor

Process Monitor é o complemento perfeito para o Process Explorer, e foi projetado para monitorizar e obter informações adicionais sobre cada processo do sistema, para entender melhor o que está a acontecer.

Permite-nos ver que chaves de registo estão a ser usadas por um programa e, portanto, onde este armazena a sua configuração e quais são as modificações cada vez que uma alteração é feita, que processos acedem a diferentes recursos (como sistemas de arquivos, rede, ligação à Internet, etc.).

Uma das coisas que tornam esta ferramenta tão poderosa e eficiente é a sua capacidade de filtragem, que nos permite refinar as buscas e obter informações muito extensas sobre qualquer processo e as suas atividades no sistema.

Imagem: execução do Process Monitor no Windows 10 e um dos processos em detalhe

PsTools

PsTools não é uma aplicação, mas um conjunto de aplicações com finalidade e funcionamento semelhantes. O funcionamento a que nos referimos é a exploração de processos no estilo UNIX System V, ou seja, instantâneos de processos.

Existe uma versão de PowerShell de cada uma delas, por isso muitos administradores dirão que estas ferramentas são obsoletas, ou melhor, não são necessárias, pois podem ser substituídas pelos cmdlets correspondentes do PowerShell. Mas é muito mais fácil usar estes comandos do que fazê-lo no PowerShell, funcionando de forma idêntica em qualquer versão do Windows.

As ferramentas incluídas neste pacote são:

PsExec: Permite executar processos remotamente.
PsFile: Mostra os arquivos abertos remotamente.
PsGetSid: Mostra o SID do computador ou sistema.
PsInfo: Mostra informações básicas e muito relevantes sobre o sistema.
PsKill: Permite terminar processos em execução.
PsList: Mostra listas de informações detalhadas sobre os processos em execução.
PsLoggedOn: Mostra quem está conectado ao sistema, e informa de se o faz localmente ou por recursos partilhados.
PsLogList: Permite transferir os registos do log de eventos.
PsPassword: Permite alterar passwords.
PsPing: É usado para medir o desempenho da rede.
PsService: Permite visualizar e controlar os serviços do sistema.
PsShutdown: Permite forçar o reinício ou o desligar do sistema, o que é muito útil em certos casos de saturação.
PsSuspend: Permite suspender um processo em execução.

Imagem: execução de “pslist” no prompt de comandos do Windows 10

AccessChk

AccessChk permite auditar os acessos que os utilizadores e os grupos possuem. Trata-se de uma auditoria de acesso a vários recursos, como ficheiros, diretórios, impressoras, serviços do Windows, objetos globais ou até mesmo chaves de registo.

Funciona de forma muito simples: especificamos um nome de utilizador ou grupo e um caminho, e o comando audita as permissões efetivas para essa conta e para esse caminho específico. As informações de acesso que nos mostrará são os acessos efetivos.

Há inúmeros exemplos que nos são fornecidos na própria página do produto e que podem ser extrapolados diretamente para as nossas instalações sem muita transformação.

$Imagem: teste de acesso do utilizador a “c:\windows\system32” com accesschk$

Imagem: teste de acesso do utilizador a “c:\windows\system32” com accesschk

TCPview

TCPView é um programa que permite enumerar todas as conexões TCP e UDP, incluindo conexões locais e remotas e os seus status. Os dados apresentados por esta aplicação são equivalentes à informação que o “netstat” nos mostraria, mas apresentados de uma forma ligeiramente mais amigável e com algumas informações adicionais.

Inclui “Tcpvcon”, a versão de linha de comandos que permite iniciar a referida aplicação a partir da CLI e extrair informações de strings específicas através de diferentes pipes ou parâmetros de passagem, e que pode ser muito poderoso se combinado com outros comandos e programas.

“TCPView” executa uma enumeração inicial, na qual são listados os endpoints dos protocolos TCP e UDP, mostrando aqueles que estão ativos. Além disso, faz uma tradução de IP/DNS para obter os nomes dos destinos e, claro, dos serviços ativos.

Permite terminar as conexões TCP/IP estabelecidas que consideramos convenientes, o que pode ser muito útil em caso de suspeita de violação de segurança ou qualquer outro tipo de evento. Por fim, permite guardar uma janela de saída num ficheiro para poder estudá-la posteriormente.