ZEKASTRA

Securityİşlem ve nesne erişimi

4688 · Yeni bir işlem oluşturuldu

Her yeni işlem başladığında üretilir. Çalıştırılabilir dosya yolunu, işlemi oluşturan üst işlemi, belirteç yükseltme türünü ve ilkeyle etkinleştirildiyse komut satırını kaydeder.

01Olaydaki alanlar

  • SubjectUserSid
  • SubjectUserName
  • SubjectDomainName
  • SubjectLogonId
  • NewProcessId
  • NewProcessName
  • TokenElevationType
  • ProcessId
  • CommandLine
  • TargetUserSid
  • TargetUserName
  • TargetDomainName
  • TargetLogonId
  • ParentProcessName
  • MandatoryLabel

02Nasıl kullanılır

NewProcessId ve ProcessId (oluşturan işlem) ile işlem ağaçları oluşturun; SubjectLogonId üzerinden oturumlara bağlayın. Çalışma aralığını belirlemek için Prefetch, Amcache ve 4689 ile karşılaştırın.

03Uyarılar

Audit Process Creation etkin olmalıdır. "Include command line in process creation events" ilkesi etkin değilse CommandLine boştur. İşlem kimlikleri yeniden kullanıldığından her zaman zaman bilgisiyle birlikte eşleştirin.

05Kaynaklar

  1. Microsoft Learn — 4688(S) A new process has been created erişim 2026-10-18

İrtibat ve hizmet talepleri

Bu sayfayla ilgili inceleme hizmeti, bilirkişilere destek ve iş birliği için irtibat kurun. Lütfen e-postaya delil dosyası ya da kişisel veri eklemeyin.