Windows tasklist ve taskkill Komutları

Windows işletim sistemlerinde sistem yöneticileri, yazılımcılar ve siber güvenlik uzmanları için çalışan süreçleri izlemek ve yönetmek temel bir ihtiyaçtır. Grafik arayüzde yer alan Görev Yöneticisi çoğu son kullanıcı senaryosu için yeterli olsa da; uzak masaüstü bağlantısının olmadığı, otomasyon betiklerinin çalıştığı ya da hızlı müdahale gerektiren durumlarda komut satırı araçları vazgeçilmezdir. Windows ortamında bu gereksinimi karşılayan iki temel yerleşik araç tasklist ve taskkill komutlarıdır. Bu rehberde, her iki komutun çalışma mantığını, kritik parametrelerini ve gerçek senaryolarda nasıl kullanılacağını inceleyeceğiz.

tasklist Komutu ile Süreçleri Görüntüleme

tasklist komutu, yerel veya uzak bir bilgisayarda o an çalışan tüm uygulamaların ve servislerin listesini görüntüler. Her bir sürecin bellek kullanımını, oturum kimliğini ve süreç kimlik numarasını (PID) detaylandırır.

En yalın haliyle komut satırına (CMD) aşağıdaki komut yazıldığında, sistemdeki tüm aktif süreçler tablo biçiminde ekrana dökülür:

tasklist

Bu çıktı varsayılan olarak beş ana sütun sunar:

• Görüntü Adı (Image Name): Çalışan çalıştırılabilir dosyanın (EXE) adı.
• PID (Process Identifier): İşletim sisteminin her sürece atadığı benzersiz kimlik numarası.
• Oturum Adı (Session Name): Sürecin konsolda mı yoksa uzak masaüstü oturumunda mı çalıştığı.
• Oturum# (Session Number): İlgili oturumun sıra numarası.
• Bellek Kullanımı (Mem Usage): Sürecin RAM üzerinde kapladığı alan.

tasklist Biçimlendirme ve Servis İlişkileri

Büyük sistemlerde çalışan yüzlerce süreci düz metin olarak okumak zor olabilir. Bu durumlarda çıktıyı CSV veya liste formatına çevirebilir, arka planda hangi Windows servislerinin çalıştığını görebilirsiniz.

Çıktıyı CSV formatına dönüştürmek ve bir dosyaya kaydetmek için /fo parametresi kullanılır:

tasklist /fo csv > surecler.csv

Bu komut, sistemdeki süreçleri virgülle ayrılmış değerler olarak surecler.csv dosyasına aktarır. Böylece veriler Excel veya log analiz araçları ile kolayca incelenebilir.

Bir sürecin hangi Windows servisine bağlı olduğunu öğrenmek için /svc parametresi tercih edilir:

tasklist /svc

Özellikle sistemde birden fazla svchost.exe çalıştığında, hangi svchost sürecinin hangi servisi (örneğin Windows Update veya DNS İstemcisi) barındırdığını tespit etmek siber güvenlik ve hata ayıklama süreçlerinde hayati önem taşır.

Çalışan süreçlerin hangi dinamik bağlantı kütüphanelerini (DLL) yüklediğini listelemek için /m parametresi kullanılır:

tasklist /m

Eğer belirli bir DLL dosyasını (örneğin sistemde şüpheli görünen bir kütüphaneyi) hangi süreçlerin kullandığı aranıyorsa komuta kütüphane adı eklenebilir:

tasklist /m ntdll.dll

tasklist ile Gelişmiş Filtreleme

Sistemde bellek sızıntısına yol açan veya yanıt vermeyen süreçleri yakalamak için /fi (filter) parametresi kullanılır.

Örneğin, 100 MB (102.400 KB) üzerinde RAM tüketen süreçleri listelemek için:

tasklist /fi "memusage gt 102400"

Burada gt (greater than – büyüktür) operatörü kullanılmıştır. Benzer şekilde lt (küçüktür) veya eq (eşittir) operatörleri de tercih edilebilir.

Yalnızca yanıt vermeyen (donmuş) uygulamaları filtrelemek için:

tasklist /fi "status eq not responding"

taskkill Komutu ile Süreçleri Sonlandırma

tasklist ile tespit edilen sorunlu veya istenmeyen süreçleri sonlandırmak için taskkill komutu devreye girer. Süreçler adlarına göre veya doğrudan PID numaraları üzerinden kapatılabilir.

Bir süreci PID numarası üzerinden normal şekilde kapatmak için:

taskkill /pid 4520

Bu komut, işletim sistemine ilgili sürece düzgün kapanma sinyali (WM_CLOSE) göndermesini söyler. Program arka planda kaydedilmemiş verileri kaydedip kapanabilir.

Bir uygulamayı doğrudan adı üzerinden kapatmak için /im (image name) parametresi kullanılır:

taskkill /im notepad.exe

Zorla Kapatma ve Süreç Ağacı (/f ve /t)

Bazı süreçler kilitlendiğinde veya kötü amaçlı yazılım benzeri davranışlar sergilediğinde normal kapanma sinyaline yanıt vermez. Bu gibi durumlarda süreci sonlanmaya zorlamak gerekir.

Zorla kapatma işlemi için /f parametresi eklenir:

taskkill /f /im chrome.exe

Bu komut, açık olan tüm Google Chrome süreçlerini beklemeden, zorla sonlandırır.

Bir uygulama ana süreç altında birden fazla alt süreç (child process) başlatmış olabilir. Ana süreci kapattığınızda alt süreçlerin arka planda açık kalmasını (zombi/yetim süreç) engellemek için /t (tree – ağaç) parametresi kullanılır:

taskkill /f /t /im calisma.exe

Bu komut calisma.exe sürecini ve bu süreç tarafından başlatılmış tüm alt süreçleri eksiksiz biçimde zorla sonlandırır.

taskkill ile Filtre Kullanarak Toplu Sonlandırma

Tıpkı tasklist komutunda olduğu gibi, taskkill komutunda da filtreler kullanılabilir. Bu özellik otomasyon görevlerinde ve sistem temizliğinde hız kazandırır.

Sistemde kilitlenmiş, yanıt vermeyen tüm pencereleri tek komutla kapatmak için:

taskkill /f /fi "status eq not responding"

Belirli bir kullanıcı hesabı tarafından başlatılmış süreçleri kapatmak için:

taskkill /f /fi "username eq testkullanicisi"

Uzak Sistemlerde Kullanım

Hem tasklist hem de taskkill, yerel ağdaki uzak Windows makineleri yönetme yeteneğine sahiptir. Bunun için komutlara ağ parametreleri dahil edilir.

Uzak bir bilgisayardaki süreçleri görüntülemek için:

tasklist /s 192.168.1.50 /u domainyonetici /p Parola123

Uzak sistemdeki belirli bir süreci sonlandırmak için:

taskkill /s 192.168.1.50 /u domainyonetici /p Parola123 /f /im zararli.exe

Uzak yönetim işlemlerinin başarılı olabilmesi için hedef makinede RPC (Remote Procedure Call) servislerinin açık olması ve güvenlik duvarının bu trafiğe izin vermesi gerekir.

Güvenlik ve Sistem Yönetimi Açısından Önemi

Windows süreç yönetimi, yalnızca kilitlenen programları kapatmaktan ibaret değildir. Sistem analizi ve güvenlik operasyonlarında şu senaryolar için bu iki komut temel seviyede kullanılır:

• Komut satırından tespit edilen şüpheli süreçlerin ilişkili DLL dosyaları /m anahtarıyla incelenerek DLL enjeksiyonu şüpheleri doğrulanabilir.
• Zamanlanmış görevler veya betikler aracılığıyla bellek eşiğini aşan servisler /fi parametresiyle yakalanıp otomatik olarak yeniden başlatılabilir.
• Olay müdahale (Incident Response) esnasında, grafik arayüzün kilitlendiği durumlarda zararlı süreç ağacı /t ve /f anahtarlarıyla hızlıca izole edilebilir.

Özet ve Sonraki Adımlar

tasklist ve taskkill komutları, Windows komut satırında süreç analizi ve yönetimi için en temel ve güvenilir araçlardır. PID bazlı işlemler, servis haritalaması, filtreleme yetenekleri ve süreç ağacı sonlandırma özellikleri sayesinde sistem kaynakları üzerinde tam denetim sağlarlar.

Bir sonraki adım olarak, bu komutların PowerShell ortamındaki karşılıkları olan Get-Process ve Stop-Process cmdlet yapılarını inceleyebilir ya da daha derinlemesine analiz için Microsoft Sysinternals paketinde yer alan Process Explorer aracını sisteminize entegre edebilirsiniz.