windows进程创建 事件日志

Posted 2020-09-19

审核进程创建

打开“本地组策略（gpedit.msc）”，左侧列表打开“计算机配置——Windows 设置——安全设置——高级审核策略配置——系统审核策略——详细跟踪”，右侧双击“审核进程创建”，把配置“成功”和“失败”勾上。至此，审核进程创建已经配置完毕。

 

 

查看日志

打开“计算机管理（“计算机”右键“管理”，或compmgmt.msc）”，左侧“系统工具——事件查看器——Windows 日志——安全”，右侧即可看到Windows有关安全的事件日志。
使用筛选器筛选出进程创建的事件（事件ID为4688），最终根据大概的时间段，找到net.exe创建的日志，可以看到创建者进程ID（PID）是0×1134，即十进制4404。