| 用途 | 高保真进程痕迹 |
|---|---|
| 字段 | Image / CommandLine / ParentImage / Hashes / User |
查询
查询
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object Id -eq 1 | Select-Object -First 20 TimeCreated, Message哈希字段可直接与样本、情报库比对，形成闭环。
Sysmon 进程创建（事件 1）
Sysmon 事件 1 含完整命令行、父进程、哈希与完整性级别：是主机执行痕迹中最细的一层记录。
易错点
- 未部署 Sysmon 的主机没有此源，别假设全环境可用
- 配置文件决定记录范围，先看配置再评估盲区
数据来源与参考
- Microsoft Sysinternals（Sysmon 事件文档）