| 用途 | 主机侧执行链还原 |
|---|---|
| 字段 | NewProcessName / CommandLine / ParentProcessName / SubjectUserName |
检索可疑命令
检索可疑命令
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} -MaxEvents 200 |
Where-Object { $_.Message -match 'powershell|cmd|certutil' } | Select-Object -First 20 TimeCreated, Message与 Sysmon 事件 1 互为补充，优先保留信息更全的一方。