Sysmon 注册表修改事件是什么
Sysmon 事件 13 记录注册表值的写入：自启动项、服务配置、映像劫持位置等持久化动作都会留痕。把它与随后发生的进程启动、网络外联按时间串起来，就能看到「写入配置—重新加载—建立外联」的完整链条。
基本信息
| 适用平台 | Windows，需部署 Sysmon 并配置注册表记录 |
|---|---|
| 关键字段 | TargetObject、Details、Image、EventType |
| 常见位置 | 自启动项、服务键、映像劫持相关位置 |
| 局限 | 注册表被写不等于立即生效，要核实后续加载 |
典型使用场景
- 排查自启动项与服务键的异常写入
- 还原持久化动作的时间线
- 结合进程字段确认写入者
- 核对写入内容是否与已知运维变更一致
- 为清理清单提供准确的键路径与值
- 把写入内容指向的路径与主机上实际存在的文件核对
- 按写入的键路径分组，区分启动项、服务与浏览器扩展等类别
筛查
筛查
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object { $_.Id -eq 13 -and $_.Message -match 'CurrentVersion..Run|Services' } |
Select-Object -First 15 TimeCreated, Message
# 关注写入值指向临时目录，或值内容含编码过的命令行字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| TargetObject | 被写入的注册表键路径 | 自启动与服务键优先看 |
| Details | 写入的值内容 | 指向临时目录或含编码参数时高度可疑 |
| Image | 执行写入的进程 | 安装器批量写入属于正常噪声 |
| EventType | 写入类型 | 区分新建与覆盖修改 |
注册表被写入不代表立即生效：部分配置要等进程重启或用户重新登录才加载，判断影响要看后续行为。
软件安装过程会批量写入大量键值。先按执行进程聚合区分安装器噪声，再看异常写入。
同一个键在短时间内被多次写入会产生多条事件，判断结果看最终值，中间过程用于还原操作时序。
该事件的量与系统更新、软件安装强相关，排查前先了解主机当时的运维窗口与变更记录。