任務管理器是窺探 Windows 核心運行狀態的最佳窗口。不僅能結束無回應程式、監控效能，更是網管排查病毒、木馬的第一道防線。病毒進程常偽裝成系統進程（如利用 l 與 1 視覺相似），掌握核心系統進程特徵，才能一眼識破「李鬼」。

一、 核心系統進程「身分證」速查表

進程名稱	關鍵特徵	可否結束	備註
System Idle Process	顯示 CPU 閒置百分比，數值越高代表系統越閒置	不可	系統關鍵進程，非實際執行檔
System	記憶體管理核心進程，**無 .exe 後綴**	不可	若出現 System.exe 即為病毒
explorer.exe	桌面、工作列、檔案總管的使用者介面宿主	可重啟	桌面消失通常是它掛了，可在工作管理器「執行新工作」輸入 explorer.exe 恢復
iexplore.exe	Internet Explorer 瀏覽器進程	可	常被惡意程式偽裝，注意路徑是否在 C:\Program Files\Internet Explorer\
csrss.exe	Client/Server Runtime Subsystem，Win32 子系統核心	不可	路徑應在 C:\Windows\System32\，其他位置可疑
winlogon.exe	處理登入/登出、安全注意序列	不可	同樣只能在 System32 下
services.exe	服務控制管理器，負責啟動/停止服務	不可
svchost.exe	DLL 服務宿主進程，**通常有多個實例**	不可隨意結束	每個實例載入不同服務群組；可用 tasklist /svc 或 Process Explorer 查看具體服務
smss.exe	Session Manager Subsystem，會話管理器	不可	啟動極早，負責建立會話環境
lsass.exe	Local Security Authority Subsystem Service，本地安全授權	不可	處理登入驗證、權杖發放；常被鑰匙記錄器鎖定

二、 實戰辨識技巧

1. 看路徑： 右鍵進程 →「開啟檔案位置」，正規系統進程皆在 C:\Windows\System32\ 或 C:\Windows\ 下。
2. 看簽名： 右鍵 →「內容」→「數位簽章」，Microsoft 簽章的可信度極高。
3. 看命令列： Win 10/11 任務管理器「詳細資料」頁籤可顯示命令列參數，異常參數往往暴露惡意行為。
4. 對照啟動項： 可疑進程若開機自啟，檢查 msconfig、登錄表 Run 鍵值、排程工作。

三、 進階工具輔助

• Process Explorer (Sysinternals)： 顯示 DLL 載入、控制代碼、TCP 連線、完整進程樹，比內建管理器強大得多。
• Autoruns (Sysinternals)： 全面掃描所有自動啟動點，快速定位殘留惡意啟動項。
• IceSword / 類似反 Rootkit 工具： 當任務管理器無法終結頑固進程時，可嘗試核心級強制終止（需極度謹慎）。

熟練掌握系統進程「指紋」，配合良好殺毒習慣與最小權限原則，才能在惡意代碼日新月異的今天守住主機防線。