Prawdopodobnie możesz skonfigurować określone pary aplikacji do uruchamiania przy użyciu rejestru i zmieniać to, co dotyczy typów mimetycznych. Jednak innym bardziej ogólnym i znacznie bardziej złożonym sposobem jest użycie Harmonogramu zadań. Harmonogram zadań może uruchomić aplikację w oparciu o różne typy wyzwalaczy, w tym wpisy dziennika zdarzeń.
Wszystko, czego potrzebujemy, to upewnić się, że zdarzenie jest tworzone przy każdym uruchomieniu aplikacji, a następnie utwórz zaplanowane zadanie, które będzie uruchamiane przy każdym logowaniu zdarzenia.
Włącz rejestrowanie „start aplikacji”
- Rozpocznij i wejdź
secpol.mscw pole Uruchom
- Przejdź do lokalnych zasad / zasad audytu
- Kliknij dwukrotnie Śledź proces śledzenia i włącz
Success
Teraz, jeśli uruchomisz dowolną aplikację, jeśli spojrzysz na Podgląd zdarzeń / Dziennik bezpieczeństwa, zobaczysz zdarzenie Tworzenie procesu za4688 każdym razem, gdy aplikacja zostanie uruchomiona.
Utwórz zaplanowane zadanie na podstawie wyzwalacza
- Otwórz Harmonogram zadań i utwórz nowe zadanie
- Na karcie Ogólne podaj nazwę zadania
- Na karcie Wyzwalacze utwórz nowy wyzwalacz i wybierz opcję Zdarzenie jako wyzwalacz
- Wybierz opcję Niestandardowa i kliknij opcję Edytuj filtr zdarzeń
- Zmień ustawienia filtra w następujący sposób:
Teraz przejdź do karty XML i ręcznie włącz edycję zapytania
Zobaczysz następujące
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 13312 and (band(Keywords,9007199254740992)) and (EventID=4688)]]
</Select>
</Query>
</QueryList>
Teraz wystarczy dodać aplikację, która ma powodować wyzwalacz. Na przykład ten używa notepad.exejako wyzwalacza:
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 13312 and (band(Keywords,9007199254740992)) and (EventID=4688)]]
and
*[EventData[Data[@Name='NewProcessName'] and (Data='C:\Windows\System32\notepad.exe')]]
</Select>
</Query>
</QueryList>
Kliknij Ok, Okaby to zrobić , a następnie zamknij okno dialogowe wyzwalacza.
Teraz wybierz kartę Akcja i utwórz nową akcję, czyli Start a Programprzejdź do aplikacji, którą chcesz uruchomić razem z aplikacją wyzwalacza.