01Konum
- C:\Windows\System32\Tasks\<folder>\<task name>
- C:\Windows\SysWOW64\Tasks
- C:\Windows\Tasks\*.job (Windows XP)
- SOFTWARE hive: Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree and \Tasks\{GUID} (also Boot, Logon, Plain)
- C:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx
02Yanıtladığı sorular
- Hangi görevler var, neyi çalıştırıyorlar ve hangi sorumlu (principal) altında?
- XML dosyaları ile TaskCache kayıt defteri girdileri tutarlı mı?
- Yakın zamanda bir görev oluşturuldu mu (XML içeriğiyle birlikte 4698 olayı)?
- Eski bir .job görevi en son ne zaman çalıştı?
03Biçim ve sürümler
| Biçim | Task Scheduler şemasıyla tanımlı XML: RegistrationInfo, Triggers, Settings, Data, Principals ve zorunlu Actions öğeli Task. TaskCache\Tasks\{GUID}; Path, Hash (SHA-256 veya KB2305420 öncesinde CRC32), Triggers ve DynamicInfo (Vista/7'de 28, 8/10'da 36 bayt) değerlerini tutar. Eski .job dosyaları SYSTEMTIME değerli sabit ve değişken veri bölümleri kullanır. |
|---|---|
| Geçerli olduğu sürümler | XML görevler ve TaskCache: Windows Vista ve sonrası. .job dosyaları ve SchedulingAgent anahtarı: Windows XP. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Actions | Görevin ne çalıştırdığını tanımlayan zorunlu öğe. |
| Triggers / Principals / Settings | Görevin ne zaman, kim olarak ve hangi davranışla çalıştığı. |
| TaskCache Tree Id | Bir Tree girdisini TaskCache\Tasks'a bağlayan GUID. |
| TaskCache Path / Hash | Tree'ye göreli görev yolu ve XML dosyasının bütünlük özeti (bayt sırası işareti hariç). |
| DynamicInfo | Anlamları (kayıt, başlatma) doğrulanmamış FILETIME değerleri içeren ikili değer. |
| Event 4698 Task Content | Security günlüğüne kaydedilen yeni görevin XML içeriği. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| DynamicInfo time values | FILETIME | winreg-kb bunları bilinmiyor olarak işaretler (muhtemelen son kayıt ve başlatma zamanı). |
| TaskCache Triggers value times | FILETIME | UTC yerine yerel saatte saklandıkları görülmektedir. |
| .job Last run time | SYSTEMTIME (16 bytes) | Görev hiç çalışmadıysa 0. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Tasks dizinlerini, SOFTWARE kovanını ve TaskScheduler Operational ile Security günlüklerini toplayın.
- Her XML görevini ayrıştırın ve eylemlerini, tetikleyicilerini ve sorumlusunu listeleyin.
- TaskCache Tree/Tasks girdilerini diskteki dosyalarla uzlaştırın ve saklanan özetleri karşılaştırın.
- Oluşturma ve çalıştırma geçmişi için 4698 olaylarını ve Operational günlük girdilerini inceleyin.
07Yorum tuzakları
- DynamicInfo alanlarının anlamları doğrulanmamıştır; bunları bu çekinceyle raporlayın.
- 4698 olayı yalnızca 'Audit Other Object Access Events' etkin olduğunda üretilir.
- TaskCache özet algoritması KB2305420 ile değişmiştir; sistemin yama düzeyine uygun algoritmayla karşılaştırın.
09Kaynaklar
- Task scheduler libyal / winreg-kb · erişim 2026-10-14
- Task Scheduler Schema Microsoft Learn · erişim 2026-10-14
- 4698(S): A scheduled task was created. Microsoft Learn · erişim 2026-10-14
- Job file format libyal / dtformats (J. Metz) · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14