- 1. 列出近期 7045 与 4697
- 2. 看 ImagePath：系统目录之外的重点
- 3. 看账户：LocalSystem 权限最大要格外审慎
- 4. 对二进制查签名与哈希（Get-AuthenticodeSignature / Get-FileHash）
- 5. 确认来源：补丁、监控 agent、还是未知安装
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045; StartTime=(Get-Date).AddDays(-7)} | Select-Object TimeCreated, @{n='Name';e={$_.Properties[0].Value}}, @{n='Path';e={$_.Properties[1].Value}}, @{n='Account';e={$_.Properties[4].Value}} | Format-Table -AutoSize
Get-AuthenticodeSignature 'C:\可疑路径\svc.exe' | Select-Object Status, SignerCertificate做基线比对：把“已知服务清单”落成资产，新出现的自然会浮出水面。