Sysmon 文件创建事件是什么
Sysmon 事件 11 记录文件的创建与覆盖写入，包含目标路径、创建时间与哈希。落地目录（临时目录、启动目录、下载目录）与哈希是判断行为性质的重要上下文：同一哈希与流量导出对象、沙箱结果比对后，投递链就闭合了。
基本信息
| 适用平台 | Windows，需部署 Sysmon 并开启文件创建记录 |
|---|---|
| 关键字段 | TargetFilename、Image、CreationUtcTime、Hashes |
| 价值 | 落地时间与位置复原，并支持哈希跨源比对 |
| 局限 | 只记录创建时刻，之后的改名与删除不出现在此事件 |
典型使用场景
- 确认文件何时落到哪台主机的哪个目录
- 用哈希与流量导出对象、沙箱报告比对
- 排查启动目录与计划任务相关目录的新增文件
- 分析办公文档释放出的子文件
- 结合进程字段判断写入者
- 把落地路径按目录统计，识别集中的投放目录
- 按执行进程分组查看落地文件，区分安装器与可疑进程
按目录筛查
按目录筛查
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object { $_.Id -eq 11 -and $_.Message -match 'AppData|Temp|Startup' } |
Select-Object -First 15 TimeCreated, Message
# 再按扩展名过滤：先看可执行文件与脚本，把图片与缓存类噪声排除字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| TargetFilename | 写入的目标路径 | 临时目录与启动目录优先看 |
| Image | 执行写入的进程 | 与父进程链一起判断 |
| CreationUtcTime | 创建时间（UTC） | 与主机日志比较时注意时区 |
| Hashes | 文件哈希 | 用于跨源比对与批量检索 |
该事件只记录创建时点。文件之后被改名或删除都不会产生新事件，需要配合其他痕迹还原后续变化。
临时目录与浏览器缓存属于高噪声区域，按扩展名与目录白名单过滤后再看，效率会高很多。
同一文件被重复创建或覆盖写入会产生多条事件，统计文件数量时按路径去重，避免把一次操作数成多次。
事件里记录的是写入者进程，不等于最终执行者，判断影响要结合进程创建事件一起看。