Come faccio a sapere quali programmi sono stati in esecuzione quando sono stati arrestati
Per impostazione predefinita non ci sono registri di quali programmi sono stati eseguiti.
Tuttavia, è possibile abilitare Eventi di tracciabilità dei processi nel registro eventi di sicurezza di Windows (vedere di seguito le istruzioni) e queste informazioni saranno disponibili in futuro.
Una volta abilitati gli Eventi di rilevamento processi, è possibile utilizzare i seguenti comandi Powershell per esaminare gli eventi:
Inizio del processo:
Get-EventLog Security | Where-Object {$_.EventID -eq 4688} | Format-List
Arresto del processo:
Get-EventLog Security | Where-Object {$_.EventID -eq 4689} | Format-List
I comandi precedenti scaricano le informazioni sull'evento sullo schermo.
Come utilizzare gli eventi di rilevamento processi nel registro di sicurezza di Windows
In Windows 2003 / XP si ottengono questi eventi semplicemente abilitando il criterio di controllo Tracking del processo.
In Windows 7/2008 + è necessario abilitare la creazione del processo di controllo e, facoltativamente, le sottocategorie di completamento del processo di controllo che troverai in Configurazione avanzata dei criteri di controllo negli oggetti dei criteri di gruppo.
Questi eventi sono incredibilmente preziosi perché forniscono una traccia di controllo completa ogni volta che qualsiasi eseguibile sul sistema viene avviato come processo . È anche possibile determinare la durata del processo collegando l'evento di creazione del processo all'evento di terminazione del processo utilizzando l'ID processo trovato in entrambi gli eventi. Di seguito sono riportati esempi di entrambi gli eventi.
Origine Come utilizzare gli eventi di rilevamento processi nel registro di sicurezza di Windows
Come abilitare la creazione del processo di audit
Esegui gpedit.msc
Seleziona "Impostazioni di Windows"> "Impostazioni di sicurezza"> "Criteri locali"> "Criteri di controllo"
Fare clic con il tasto destro del mouse su "Tracciamento del processo di controllo" e selezionare "Proprietà"
Seleziona "Operazione riuscita" e fai clic su "OK"
Che cos'è il monitoraggio del processo di verifica
Questa impostazione di sicurezza determina se il sistema operativo controlla gli eventi relativi al processo come la creazione del processo, la terminazione del processo, la gestione della duplicazione e l'accesso indiretto agli oggetti.
Se viene definita questa impostazione di criterio, l'amministratore può specificare se controllare solo gli esiti positivi, solo gli errori, sia gli esiti positivi che i guasti, oppure se non controllare affatto tali eventi (ovvero né esiti positivi o negativi).
Se il controllo riuscito è abilitato, viene generata una voce di controllo ogni volta che il sistema operativo esegue una di queste attività correlate al processo.
Se il controllo degli errori è abilitato, viene generata una voce di controllo ogni volta che il sistema operativo non riesce a svolgere una di queste attività.
Impostazione predefinita: nessun controllo
Importante: per un maggiore controllo sui criteri di controllo, utilizzare le impostazioni nel nodo Configurazione avanzata criteri di controllo. Per ulteriori informazioni sulla configurazione avanzata dei criteri di controllo, vedere
http://go.microsoft.com/fwlink/?LinkId=140969 .
Che dire di ExecutedProgramList di Nirsoft? Posso usarlo?
ExecutedProgramList non fornisce un elenco completo dei programmi che sono stati eseguiti.
Ad esempio, non elenca nessuno dei programmi portatili che sto attualmente eseguendo dal mio thumbdrive, ad esempio Agent, Notepad ++, GSNotes e quasi tutti i programmi Cygwin che ho eseguito dal mio ultimo riavvio.
Non elencherà alcun programma che non scriva nulla nelle posizioni menzionate nel link:
L'elenco dei programmi eseguiti in precedenza viene raccolto dalle seguenti origini dati:
- Chiave di registro:
HKEY_CURRENT_USER\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
- Chiave di registro:
HKEY_CURRENT_USER\Microsoft\Windows\ShellNoRoam\MUICache
- Chiave di registro:
HKEY_CURRENT_USER\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Persisted
- Chiave di registro:
HKEY_CURRENT_USER\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store
- Cartella Prefetch di Windows (C: \ Windows \ Prefetch)
Source ExecutedProgramList
Ulteriori letture