Microsoft porta Process Explorer su macOS: come analizzare i processi

Uno degli strumenti più apprezzati dagli amministratori Windows arriva anche sui computer Apple. Microsoft ha pubblicato Sysinternals Process Explorer per macOS (download), una versione nativa della celebre utilità che permette di esaminare in profondità i processi in esecuzione, le librerie caricate, le connessioni di rete e il consumo delle risorse hardware. Il progetto porta sui Mac funzionalità diagnostiche che finora richiedevano il ricorso a diversi strumenti separati.

La notizia ha anche un significato storico. Nel luglio 2006 Microsoft acquisì Sysinternals, la raccolta di utility sviluppata da Mark Russinovich e Bryce Cogswell, trasformandola progressivamente in un riferimento per l’analisi e la risoluzione dei problemi di Windows. A 20 anni di distanza, Process Explorer supera i confini del sistema operativo Microsoft: il repository ufficiale contiene un’applicazione sviluppata in Swift, compatibile con macOS 14 Sonoma e versioni successive.

Process Explorer per Mac: molto più di Monitoraggio Attività

Chi utilizza macOS conosce probabilmente Monitoraggio Attività, l’applicazione integrata che mostra il carico della CPU, l’occupazione della memoria, l’attività a livello di storage e il traffico di rete. È uno strumento efficace per individuare un programma che consuma troppe risorse, ma offre possibilità più limitate quando bisogna ricostruire il comportamento interno di un processo.

La versione Mac di Process Explorer riprende l’impostazione della storica utilità Sysinternals per Windows: l’elemento centrale è un albero dei processi aggiornato in tempo reale, con informazioni sulle relazioni tra processi padre e figli, sull’utente proprietario e sulle risorse utilizzate.

I colori permettono di riconoscere immediatamente alcune categorie: processi appartenenti all’utente corrente, servizi, processi sospesi, applicazioni sottoposte a sandbox e processi appena avviati o terminati. La tabella supporta colonne personalizzabili, ordinamento, ricerca tramite digitazione e memorizzazione delle preferenze di visualizzazione.

Se un’applicazione avvia diversi processi ausiliari, Process Explorer aiuta a ricostruirne la struttura senza dover interrogare separatamente il sistema operativo attraverso il Terminale. Non si limita a mostrare quanta memoria utilizza un programma: permette di approfondire che cosa sta facendo.

Dentro i processi: librerie, file aperti e thread

Una delle caratteristiche più interessanti è il pannello inferiore, che permette di esaminare tre categorie di informazioni associate al processo selezionato:

• immagini eseguibili e librerie caricate;
• descrittori di file;
• thread.

Su Windows, Process Explorer utilizza tradizionalmente la visualizzazione delle DLL e degli handle. Su macOS, la stessa impostazione richiede alcuni adattamenti: le librerie dinamiche utilizzano generalmente file Mach-O e librerie con estensione .dylib, mentre i file descriptor rappresentano riferimenti a risorse aperte dal processo, compresi file e socket.

Un descrittore di file non equivale in ogni circostanza a un handle Windows, così come una libreria Mach-O non corrisponde direttamente a una DLL dal punto di vista del caricamento e della gestione della memoria: Microsoft ha quindi ricostruito le funzionalità tenendo conto delle caratteristiche del sistema Apple.

Per ogni processo è inoltre disponibile una finestra delle proprietà articolata in 8 schede: Image, Performance, Performance Graph, Threads, TCP/IP, Security, Environment e Strings. Un tecnico può così passare dall’identificazione dell’eseguibile all’analisi delle sue risorse, dei thread e delle informazioni di sicurezza, senza cambiare programma.

La ricerca di file e componenti aperti può risultare utile, ad esempio, quando un’applicazione continua a utilizzare un file che dovrebbe aver rilasciato oppure quando si vuole verificare quali moduli abbia effettivamente caricato.

Connessioni TCP/IP: scoprire con chi comunica un’applicazione

Un’altra caratteristica significativa riguarda l’analisi delle comunicazioni di rete. La scheda TCP/IP riporta indirizzi locali e remoti, stato delle connessioni TCP e informazioni sugli endpoint associati al processo. È prevista anche la risoluzione DNS inversa asincrona, utile per ottenere, quando disponibile, un nome host a partire dall’indirizzo IP remoto.

Abbiamo già esaminato come monitorare le connessioni di rete sui Mac utilizzando strumenti quali nettop, Wireshark e Little Snitch. Process Explorer affronta il problema da un’angolazione differente: collega direttamente l’attività di rete alle altre proprietà del processo, comprese librerie, firma digitale e thread.

Se un’applicazione apparentemente inattiva mantiene collegamenti verso server esterni, l’utente può verificare il percorso dell’eseguibile, identificare il produttore e osservare le connessioni aperte.

Process Explorer non sostituisce un analizzatore di pacchetti: conoscere gli endpoint di una connessione è diverso dall’esaminarne il contenuto.

Firme digitali, notarizzazione Apple e VirusTotal

La sezione Security rappresenta uno degli aspetti più interessanti per chi si occupa di sicurezza informatica. Process Explorer può mostrare informazioni sul firmatario, sulla catena dei certificati, sul Team ID Apple, sullo stato della notarizzazione e sul tipo di firma associata a un eseguibile.

L’applicazione integra inoltre il calcolo dell’hash SHA-256 e controlli tramite VirusTotal: un amministratore può così utilizzare tali informazioni per approfondire la provenienza di un componente sospetto e confrontarne l’impronta crittografica con quanto conosciuto dai servizi di analisi.

Perché Process Explorer per Mac è una novità importante

L’arrivo di Process Explorer su macOS offre soprattutto un vantaggio pratico: raccoglie in un’unica applicazione informazioni che amministratori e sviluppatori spesso devono ottenere combinando Monitoraggio Attività, strumenti da Terminale e utility specializzate.

Le restrizioni delle API Apple impediscono una corrispondenza completa con la versione Windows, mentre strumenti come Wireshark o gli analizzatori dedicati conservano funzionalità che Process Explorer non intende replicare.

Dopo aver portato alcune utilità Sysinternals su Linux e ampliato progressivamente il supporto ad altre piattaforme, l’azienda propone ora su Mac uno dei programmi che più hanno contribuito alla reputazione tecnica della raccolta.

Per chi deve capire perché un’applicazione rallenta il computer, quali componenti carica o con quali server comunica, è uno strumento da tenere in debita considerazione.