Sysmon 进程创建事件是什么
Sysmon 事件 1 记录进程创建，字段包含完整命令行、父进程、映像哈希与完整性级别，是主机执行痕迹里最细的一层记录。它需要事先在终端上部署并配置，配置内容决定实际记录到什么程度。
基本信息
| 适用平台 | Windows，需部署 Sysmon，系统默认不提供 |
|---|---|
| 关键字段 | Image、CommandLine、ParentImage、Hashes、User |
| 配置影响 | 由配置文件决定是否记录命令行与哈希 |
| 互补数据源 | 安全日志 4688，开启命令行审核后可用 |
典型使用场景
- 还原精确到命令行的执行链
- 用哈希直接与样本库、情报比对
- 排查办公软件派生脚本解释器这类高价值组合
- 与 4688 互补，补上后者字段缺失的部分
- 为检测规则提供字段，是常见的行为检测数据源
- 把哈希字段送到情报平台查询，快速判断是否为已知样本
- 按父进程路径统计子进程分布，异常组合优先排查
查询
查询
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object Id -eq 1 | Select-Object -First 20 TimeCreated, Message
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object { $_.Id -eq 1 -and $_.Message -match 'winword|excel' -and $_.Message -match 'powershell' }
# 组合条件：办公软件作为父进程、脚本解释器作为子进程，优先级最高字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| Image | 进程映像完整路径 | 临时目录与用户目录下的路径优先看 |
| CommandLine | 完整命令行 | 留意编码参数与下载类工具名 |
| ParentImage | 父进程映像路径 | 判断触发来源的关键字段 |
| Hashes | 映像哈希 | 可直接与情报、沙箱结果比对 |
| User | 执行账号 | 服务账号的交互式行为需单列 |
未部署 Sysmon 的主机没有这个数据源。跨主机排查前先确认覆盖范围，不要假设全环境都能查到这个事件。
记录范围由配置文件决定：配置里没开命令行或哈希，事件里就没有这些字段。评估盲区必须先看配置。
事件 1 的记录量很大，导出分析前先按时间窗与关键进程收窄，直接全量导出会让平台与分析工具都很吃力。