Process Monitor 4.11은 Windows의 파일 시스템, 레지스트리, 프로세스와 스레드 활동을 실시간으로 기록해 실행 실패, 저장 오류, 권한 문제와 누락된 경로를 좁히는 Microsoft Sysinternals 무료 도구입니다.
공식 ZIP 선택, x64·ARM64·x86 실행 파일 구분, 자동 수집 정리, Process Name·PID 필터, 문제 재현, Result·Path·Detail 및 Event·Process·Stack 확인, PML 저장까지 실제 진단 순서대로 설명합니다.
Process Monitor는 어떤 Windows 진단 도구인가요?
Process Monitor는 과거 Filemon과 Regmon의 기능을 합쳐 파일, 레지스트리, 프로세스·스레드 이벤트를 한 타임라인에 보여줍니다. 비파괴 필터, 프로세스 트리, 사용자·세션 정보, 명령줄, 스택과 심볼을 이용해 어떤 프로그램이 언제 어느 경로에 접근했는지 확인할 수 있습니다.
설치형 모니터링 서비스가 아니라 필요할 때 실행해 캡처하는 휴대형 도구입니다. 수백만 이벤트와 큰 로그도 처리하고 Native Process Monitor Format인 PML에 저장할 수 있어 문제를 재현한 뒤 원본 기록을 다시 필터링할 수 있습니다.
Process Monitor 실제 이벤트·필터·속성 화면
Microsoft Learn 공식 화면입니다. 메인 이벤트 표의 Process Name, PID, Operation, Path, Result, Detail 열과 Filter 대화상자, Event Properties의 Event·Process·Stack 탭을 확인할 수 있습니다.
| 배포 파일 | ProcessMonitor.zip |
|---|---|
| 실제 크기 | 3,199,668 bytes |
| x64 | Procmon64.exe |
| ARM64 | Procmon64a.exe |
| 32-bit | Procmon.exe |
| 저장 | PML |
다운로드부터 PML 저장까지 한 번에 끝내기
Process Monitor 4.11은 Windows에서 파일 시스템, 레지스트리, 프로세스와 스레드 활동을 실시간으로 기록하는 Microsoft Sysinternals 무료 도구입니다. ProcessMonitor.zip을 풀고 일반적인 Intel·AMD 64비트 Windows에서는 Procmon64.exe, ARM64 PC에서는 Procmon64a.exe, 32비트 환경에서는 Procmon.exe를 관리자 권한으로 실행합니다.
사용권에 동의하면 수집이 바로 시작됩니다. Ctrl+E로 잠시 멈추고 Ctrl+X로 기존 이벤트를 비운 뒤 Filter 메뉴의 Filter에서 조사할 실행 파일 이름이나 PID만 Include로 추가합니다. Ctrl+E로 다시 수집하고 오류를 한 번 재현한 다음 즉시 멈춥니다. Result와 Path를 살피고 필요한 이벤트를 두 번 눌러 Event, Process, Stack 탭을 확인한 뒤 File 메뉴의 Save에서 Native Process Monitor Format인 PML로 저장합니다.
- ProcessMonitor.zip을 내려받아 새 폴더에 모두 압축 해제합니다.
- PC 구조에 맞는 Procmon64.exe, Procmon64a.exe 또는 Procmon.exe를 관리자 권한으로 실행합니다.
- 사용권에 동의한 뒤 Ctrl+E로 수집을 멈추고 Ctrl+X로 화면을 비웁니다.
- Filter – Filter에서 Process Name 또는 PID를 Include로 추가합니다.
- Ctrl+E로 수집을 시작하고 문제가 나는 동작을 한 번만 재현합니다.
- Ctrl+E로 멈추고 Result, Path, Detail과 Event·Process·Stack 탭을 확인합니다.
- File 메뉴의 Save에서 PML 형식으로 기록을 보관합니다.
Process Monitor 4.11 무료 배포와 지원 환경
Microsoft Learn의 공식 배포 페이지는 현재 Process Monitor 4.11을 제공하며 공개일은 2026년 9월 10일입니다. 무료 Sysinternals 유틸리티이고 별도 설치 프로그램 없이 ZIP 압축 파일을 풀어 실행합니다. 공식 지원 범위는 클라이언트 Windows 11 이상, 서버 Windows Server 2019 이상입니다.
공식 ProcessMonitor.zip은 실제 내려받은 파일 기준 3,199,668바이트이며 안에는 4.11 버전의 Procmon.exe, Procmon64.exe, Procmon64a.exe와 Eula.txt가 있습니다. 사이트에 표시되는 약 3.1MB와 일치합니다. 오래된 미러나 단독 EXE 대신 Microsoft Sysinternals 주소의 ZIP을 사용하면 세 아키텍처 파일과 사용권 문서를 함께 받을 수 있습니다.
Procmon64·Procmon64a·Procmon 파일 선택
대부분의 Windows 11 데스크톱과 노트북은 x64이므로 Procmon64.exe를 실행합니다. 설정 – 시스템 – 정보의 시스템 종류에 ARM 기반 프로세서라고 나오면 Procmon64a.exe를 선택합니다. 32비트 운영체제나 32비트 진단이 필요한 구형 환경은 Procmon.exe를 사용합니다.
ZIP 안의 파일을 따로 떼어 실행하기보다 같은 폴더에 풀어 두는 편이 좋습니다. 파일 속성의 자세히 탭에서 제품 이름 Sysinternals Procmon과 파일 버전 4.11을 확인할 수 있습니다. 관리자 권한으로 실행하면 시스템과 다른 사용자 프로세스의 경로·레지스트리 접근을 놓칠 가능성이 줄어듭니다.
첫 실행, 자동 수집 중지와 화면 비우기
사용권 창에 동의하면 Process Monitor가 즉시 이벤트를 수집합니다. 준비 전에 쌓인 수십만 건이 분석을 방해할 수 있으므로 먼저 Ctrl+E 또는 돋보기 모양 Capture Events 버튼으로 수집을 멈춥니다. Ctrl+X 또는 Edit – Clear Display로 기존 목록을 지웁니다.
상단 도구 모음의 파일 시스템, 레지스트리, 네트워크, 프로세스·스레드 활동 버튼이 꺼져 있으면 해당 종류의 이벤트가 보이지 않습니다. 처음에는 필요한 범주를 켠 상태에서 대상 프로세스 필터를 좁히고, 원인을 찾은 뒤 불필요한 범주를 끄는 순서가 안전합니다.
Process Name·PID 필터로 대상만 남기기
Filter – Filter 또는 Ctrl+L을 열고 Column에서 Process Name, Relation에서 is, Value에 실제 실행 파일 이름을 넣은 뒤 Include와 Add를 누릅니다. 같은 이름의 프로세스가 여러 개이거나 재현 중 정확한 인스턴스만 보려면 PID is 숫자 Include를 씁니다.
필터가 꼬였을 때는 Filter 창의 Reset으로 초기화한 뒤 다시 추가합니다. 특정 폴더나 레지스트리 키만 보고 싶으면 Path begins with 조건을 더할 수 있습니다. Exclude를 너무 많이 쌓으면 원인 이벤트까지 숨길 수 있으므로 조사 초반에는 대상 프로세스 Include 하나에서 시작합니다.
오류를 한 번 재현하고 캡처 멈추기
필터를 적용한 뒤 Ctrl+E로 수집을 시작하고 실행 실패, 저장 오류, 설정 변경 같은 문제 동작을 한 번만 재현합니다. 문제 직후 다시 Ctrl+E를 눌러 멈춥니다. 긴 시간 열어 두면 정상 백그라운드 접근이 섞이고 PML이 빠르게 커지므로 재현 전후 구간을 짧게 남깁니다.
실행조차 안 되는 프로그램은 Process Name 필터만 쓰면 시작 전후의 자식 프로세스나 Windows Error Reporting 동작을 놓칠 수 있습니다. 처음에는 대상 이름과 Process Tree를 함께 보고, 필요하면 부모·자식 PID를 추가합니다. Tools – Process Tree에서는 실행 시각과 부모 관계를 시간순으로 확인할 수 있습니다.
Result·Path·Detail과 이벤트 속성 읽기
목록에서 Operation은 CreateFile, RegOpenKey, Process Start 같은 작업, Path는 접근한 파일·키, Result는 성공 여부, Detail은 요청 권한과 옵션을 보여줍니다. NAME NOT FOUND나 PATH NOT FOUND가 나와도 프로그램이 여러 후보를 순서대로 찾는 정상 탐색일 수 있습니다. 실패 직전과 직후 이벤트를 함께 봐야 합니다.
의심 이벤트를 두 번 누르면 Event 탭에서 동작과 결과, Process 탭에서 이미지 경로·명령줄·사용자·무결성 수준, Stack 탭에서 호출 모듈을 확인할 수 있습니다. ACCESS DENIED 하나만으로 원인을 확정하지 말고 같은 경로의 재시도, 성공 이벤트, Process Exit나 WerFault 발생 시점을 대조합니다.
PML 원본과 CSV 내보내기 구분
File 메뉴의 Save에서 All events와 Events displayed using current filter 중 범위를 선택하고 Native Process Monitor Format(PML)로 저장합니다. PML은 이벤트 속성, 필터 재적용, 프로세스 정보와 스택을 보존하므로 나중에 다시 분석하거나 지원 담당자에게 전달할 때 기본 형식입니다.
CSV나 XML은 표 형태 공유와 별도 분석에 편하지만 Process Monitor에서 되살릴 수 있는 정보가 줄어듭니다. 원본 PML을 먼저 보관하고 필요한 필터 결과만 CSV로 추가 내보냅니다. 민감한 사용자명, 경로와 명령줄이 포함될 수 있으므로 외부 전달 전 해당 내용을 확인합니다.
이벤트가 너무 많고 PML이 커질 때
수집 전에 Ctrl+E로 멈추고 Ctrl+X로 비운 다음 Process Name 또는 PID Include 필터를 적용합니다. 재현이 오래 걸리면 File – Backing Files에서 가상 메모리 대신 디스크 파일을 지정해 메모리 사용을 줄입니다. 충분한 여유 공간이 있는 로컬 드라이브를 선택합니다.
필터는 화면에 보이는 이벤트를 줄일 뿐 이미 수집된 원본 크기를 즉시 줄이지 않을 수 있습니다. 재현 구간을 짧게 하고 필요 없는 이벤트 범주를 끄는 것이 중요합니다. 완료 후 수집을 멈추고 PML을 저장한 뒤 임시 backing file을 정리합니다.
아무 이벤트도 보이지 않을 때
돋보기 Capture Events 버튼이 눌린 상태인지, Ctrl+E로 수집이 켜졌는지 확인합니다. 도구 모음에서 파일 시스템·레지스트리·프로세스 이벤트 범주가 꺼져 있지 않은지 보고 Filter – Reset Filter로 숨김 조건을 제거합니다.
대상 프로그램을 Process Monitor보다 먼저 실행했다면 시작 이벤트를 놓칠 수 있습니다. 수집을 켠 뒤 대상 앱을 새로 실행합니다. 관리자 권한이 필요한 서비스나 다른 사용자 프로세스는 Process Monitor도 관리자 권한으로 다시 실행하고 동일한 순서로 캡처합니다.
ACCESS DENIED와 실행 실패 원인 좁히기
ACCESS DENIED는 실제 권한 문제일 수도 있고 프로그램이 대체 경로를 시도하는 정상 과정일 수도 있습니다. 같은 파일이나 키에 대한 이후 SUCCESS가 있는지, Desired Access와 사용자·무결성 수준이 무엇인지 Event와 Process 탭에서 확인합니다.
앱 시작 실패라면 대상 프로세스의 Process Start 이후 마지막 파일·DLL·레지스트리 접근과 Process Exit를 시간순으로 봅니다. WerFault.exe가 이어지면 충돌 가능성을, 특정 DLL 직후 종료되면 해당 파일의 경로와 아키텍처를 확인합니다. Process Tree에서 부모·자식 흐름을 대조하면 런처와 실제 앱을 구분할 수 있습니다.
Stack 기호가 안 보일 때와 부팅 로그 사용
Stack 탭의 기호가 주소만 보이면 Options의 Configure Symbols에서 Microsoft 심볼 서버를 사용할 수 있는 경로를 설정하고 네트워크 접근을 확인합니다. 관리자 권한으로 다시 캡처하고 32비트·64비트 프로세스에 맞는 실행 파일을 사용합니다. 모든 서드파티 모듈이 공개 기호를 제공하는 것은 아닙니다.
로그온 이전이나 부팅 과정 문제는 Options – Enable Boot Logging을 선택하고 재부팅한 뒤 Process Monitor를 다시 실행해 저장된 부팅 캡처를 엽니다. 필요한 구간을 PML로 저장하고 다음 부팅까지 불필요하게 계속 기록하지 않도록 부팅 로깅 상태를 확인합니다.
개인정보를 확인하고 진단 기록 전달하기
PML에는 사용자명, 로컬 경로, 네트워크 공유, 실행 명령줄과 접근한 문서 이름이 들어갈 수 있습니다. 지원팀에 보낼 때는 먼저 대상 프로세스만 필터링하고 Process와 Event 속성에서 민감한 값이 없는지 확인합니다.
원인을 재현한 시간, 실행 파일 이름, 기대한 동작과 실제 오류를 짧게 메모해 PML과 함께 전달하면 분석이 빨라집니다. CSV만 보내기보다 원본 PML을 보관하고, 외부 공유가 필요한 경우 신뢰할 수 있는 수신자와 안전한 전송 수단을 사용합니다.
자주 묻는 질문
Process Monitor는 무료인가요?
네. Microsoft Sysinternals가 무료로 배포하며 공식 ProcessMonitor.zip에서 받을 수 있습니다.
64비트 Windows에서는 어떤 파일을 실행하나요?
일반적인 Intel·AMD x64 PC는 Procmon64.exe, ARM64 PC는 Procmon64a.exe를 실행합니다.
실행하자마자 이벤트가 너무 많이 쌓이면 어떻게 하나요?
Ctrl+E로 멈추고 Ctrl+X로 비운 뒤 Process Name이나 PID Include 필터를 추가한 다음 다시 수집합니다.
ACCESS DENIED가 나오면 모두 오류인가요?
아닙니다. 대체 경로를 찾는 정상 동작일 수 있으므로 이후 SUCCESS, 요청 권한과 종료 시점을 함께 확인합니다.
기록은 어떤 형식으로 저장하나요?
File 메뉴의 Save에서 PML을 먼저 저장해야 속성, 스택과 필터 재적용 정보를 보존할 수 있습니다.
필터를 먼저 만들고 짧게 재현한 뒤 PML로 남기세요
ProcessMonitor.zip을 풀어 PC 구조에 맞는 실행 파일을 관리자 권한으로 엽니다. Ctrl+E와 Ctrl+X로 준비한 뒤 대상 Process Name이나 PID만 Include하고 문제를 한 번 재현하세요. Result만 단독으로 판단하지 말고 Path, Detail, Process Tree와 Event·Process·Stack 탭을 대조한 뒤 원본 진단 기록은 PML로 저장합니다.
공식 자료와 확인일
Process Monitor 공식 다운로드 · Process Monitor로 앱 시작 실패 분석 · Sysinternals 공식 소개 | 2026-10-01T18:40:05.391394+00:00
