| 用途 | 发现新增服务与驱动 |
|---|---|
| 关键字段 | ServiceName、ImagePath、ServiceType（含内核驱动）、StartType、AccountName |
| 对比 | 4697 是安全日志侧的服务安装审计（需开启） |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045} -MaxEvents 20 | Select-Object TimeCreated, @{n='Name';e={$_.Properties[0].Value}}, @{n='Path';e={$_.Properties[1].Value}}, @{n='Type';e={$_.Properties[2].Value}}, @{n='Start';e={$_.Properties[3].Value}} | Format-Table -AutoSize正规软件安装也会产生 7045：看路径是否在 Temp/用户目录才是关键区分点。