| 事件 | 4688 新进程创建 |
|---|---|
| 关键字段 | NewProcessName / CommandLine / ParentProcessName |
| 前提 | 审核策略开启进程创建；命令行单独启用 |
| 查询 | Get-WinEvent + FilterHashtable |
查询进程创建并确认审计状态
查询进程创建并确认审计状态
auditpol /get /subcategory:"Process Creation"
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=(Get-Date).AddHours(-24)} -MaxEvents 100 | Select-Object TimeCreated, @{n='Proc';e={$_.Properties[5].Value}}, @{n='Cmd';e={$_.Properties[8].Value}} | Format-Table -AutoSize默认未开启命令行审计时 CommandLine 为空；检查 auditpol 状态后再判断「日志里为什么没有参数」。