如何在 Windows 10 工作管理員中識別進程

要在 Windows 10 的任務管理器中識別某個進程，請將其進程名稱與可執行檔進行匹配，檢查檔案的位置和發布者詳細信息，並追蹤任何關聯的服務。您不認識的進程名稱並不一定意味著它是惡意軟體：Windows 和普通應用程式都會執行後台進程、輔助程式和多個實例。

1. 找出流程並區分相似條目

按Ctrl+Shift+Esc開啟工作管理員。如果看到的是簡潔窗口，請選擇「更多詳細資料」。「進程」標籤會按應用程式對多個條目進行分組，並顯示哪些進程正在使用 CPU、記憶體、磁碟或網路資源。展開應用程式的箭頭即可顯示其子進程。

右鍵單擊該條目，然後選擇“轉到詳細資料”（如果該命令可用）。「詳細資料」標籤會顯示可執行檔的名稱，例如example.exe. 如果多行具有相同的名稱，請比較它們的進程 ID ( PID ) 和使用者名稱；PID 用於識別一個正在運行的實例，並且在應用程式重新啟動後可能會更改。 Microsoft 的任務管理器故障排除指南詳細介紹了「進程」、「詳細資料」和「服務」視圖。

2. 檢查可執行檔的儲存位置

在「詳細資料」視窗中，以滑鼠右鍵按一下該進程，然後選擇「開啟檔案位置」。檔案總管將開啟包含可執行檔的資料夾。該資料夾通常會顯示是哪個應用程式安裝的，但位置只是一個線索，並非最終結論：

• 軟體通常從C:\Program Files或運行C:\Program Files (x86)。
• Windows 元件通常從下列位置執行C:\Windows\System32：
• 合法的更新程式和用戶應用程式可以從您的個人資料下的資料夾運行，包括AppData。

某些受保護的 Windows 進程和 Microsoft Store 應用程式不會公開可用的檔案位置，或者該命令可能無法使用。僅憑此限製本身並不足以判斷該進程是否可疑。如果該條目是服務主機（例如）svchost.exe，請使用下面的服務檢查，而不是假設主機檔案名稱可以識別元件。

3. 讀取檔案屬性和發布者訊息

在任務管理器中以滑鼠右鍵按一下該進程，然後選擇「屬性」，或在檔案總管中開啟可執行檔的「屬性」。在「詳細資料」標籤上，查看「文件描述」、「產品名稱」、「公司」和「文件版本」等欄位。如果出現「數位簽章」選項卡，請選取它，然後選擇簽署者並檢查其憑證詳細資料。

有效的簽名有助於確認文件自簽名以來未被更改，並識別發布者。微軟解釋了Windows 數位簽章如何驗證文件及其發布者。簽名是一種有用的證據，但並不能保證軟體無害。同樣，未簽名的文件並不一定就是惡意軟體；有些合法文件也沒有簽名，而且並非所有文件類型都有簽名標籤。

4. 追蹤服務並核實任何仍不清楚的地方

對於可能屬於 Windows 服務的進程，請右鍵單擊該進程，在「詳細資料」標籤中選擇「前往服務」（如果可用）。任務管理器將切換到「服務」選項卡，並反白顯示相關的服務項目。您也可以開啟「服務」應用程式來閱讀服務的描述。共享主機可以運行多個服務，因此請檢查突出顯示的服務名稱，而不是將其視為svchost.exe服務本身。不要僅僅為了測試某個服務的功能而停止它；Windows 和已安裝的軟體可能依賴該服務。

如果仍然無法確定發行商，請搜尋包含發行商或產品名稱的完整可執行檔名稱。優先選擇軟體製造商的官方支援網站或微軟文檔，而不是匿名下載頁面和論壇上的猜測。切勿從搜尋結果下載替代可執行檔。

若要檢查特定文件，請在文件資源管理器中開啟其所在資料夾，以滑鼠右鍵按一下可執行文件，然後選擇「使用 Microsoft Defender 掃描」 。 Microsoft 的Windows 安全性中心指南介紹如何掃描選取的檔案或資料夾。如果掃描報告有威脅，請查看 Windows 安全中心的建議操作和保護記錄。不要因為檔案名稱看起來熟悉或檔案帶有簽名就選擇「允許」。

何時採取行動

請結合檔案名稱、進程 ID (PID)、位置、產品詳細資料、簽章和服務關係等資訊進行判斷。如果證據仍然衝突，或 Windows 安全中心標記了該文件，請避免盲目開啟或終止該文件。請遵循安全警報的指導，並諮詢軟體發布者或您所在組織的 IT 管理員。任務管理器可以幫助您調查正在運行的程序，但它本身並不能判斷文件是否安全。