Windows 是否记录已运行/调用的程序？

Question

在 Windows 中，是否有日志记录运行/调用了哪些程序？

在浏览互联网、查看没有广告、鼠标点击、按键或其他插件/插件/脚本运行的静态页面时，我只看到一个自发的 CMD.exe 控制台弹出，然后立即关闭，速度足够快，我无法在窗口中看到任何东西——而且我也没有明显的触发。

我想知道是否有某种类型的 Windows 日志显示已运行/调用/激活了哪些程序？我想看看当这个控制台窗口闪烁时幕后发生了什么，并希望确定它不是流氓。

作为参考，我运行的是 Windows 7 Ultimate x64。

Answer 1

您将无法检查运行的内容，但您可以为下一次做准备。如果你打开secpol.msc你可以去local policies/audit policy。激活Success（也可能是Failure），Audit process tracking每次进程开始或结束时，您都会在安全事件日志中获得一个事件日志条目。不幸的是，您会看到运行的进程，但看不到它启动时使用的命令行。

如果您激活审核，可能会生成大量日志，因此您应该调整安全事件日志的大小。

您可以使用eventvwr.msc、Windows 协议、安全性访问日志。

Answer 2

Mark Russinovich Sysinternals Process Monitor 就是这样做的。在跟踪文件/注册/网络访问中，它可以跟踪进程/线程生命周期并允许进行大量过滤。

Answer 3

可能是计划任务正在运行。检查任务计划程序中的任务。

您还可以检查事件查看器是否有任何内容，尽管它可能什么也没有。