Event ID 4688是发现隐蔽驻留最有效的手段，记录进程创建的完整上下文（父进程、命令行、用户、路径、会话ID），攻击者无法绕过内核调度而抹除该日志，结合4624、4689等事件可还原攻击链并识别高危行为模式。
直接看系统调度日志里的进程创建记录，是发现隐蔽驻留最有效的手段之一。恶意程序常绕过常规任务管理器和启动项，但只要它被系统内核调度执行，就一定会在安全日志中留下 Event ID 4688（新进程创建）事件——这是无法抹除的底层痕迹。
聚焦关键日志：Event ID 4688 是核心突破口
该事件记录每次进程启动的完整上下文，包括父进程、命令行参数、用户账户、完整路径和会话ID。攻击者即使隐藏了进程图标或伪装成 svchost.exe，只要调用 CreateProcess API，就会触发这条日志。
- 打开事件查看器 → Windows 日志 → 安全，筛选“4688”
- 重点过滤：无描述信息、命令行含 PowerShell/CMD/Base64/EncodedCommand、路径在 Temp/AppData/Download 下、用户为 SYSTEM 但父进程异常
- 特别注意“父进程名”字段：正常系统进程（如 services.exe、winlogon.exe）启动的子进程才可信；若 explorer.exe 启动了一个 .exe 文件，却不在 Program Files 或 System32 目录下，高度可疑
关联分析：把孤立日志串成行为链
单条 4688 不足以定性，需结合前后事件还原攻击路径：
- 查到可疑进程后，回溯同一用户的4624 登录成功事件，确认是否为远程登录或非工作时间登录
- 检查该进程创建后是否立即触发4689（进程终止）或 4690（句柄操作），可能是恶意程序自删除或注入其他进程
- 用进程 PID 反向查找对应时间点的网络连接日志（4950/5156），验证是否外连境外 IP 或 C2 域名
实战技巧：快速定位高危模式
以下组合特征出现任意一项，基本可判定为隐蔽驻留行为：
- PowerShell + -EncodedCommand + 父进程为 wermgr.exe 或 dwm.exe（常见于无文件攻击）
- cmd.exe 启动，命令行含 %TEMP%、%APPDATA%、.vbs/.js/.msi 路径，且用户为 LocalSystem
- 同一进程路径在短时间内高频重复创建（如每5分钟一次），但任务管理器看不到对应进程（说明被主动隐藏或短命进程）
- 进程创建者为已注销会话（Session ID 与当前登录不匹配），或由“NT AUTHORITY\SYSTEM”启动但签名为空
辅助验证：用命令补全日志盲区
日志可能被清除或未开启审核策略，需配合命令交叉验证：
- 运行 wevtutil qe Security /q:"*[System[(EventID=4688)]]" /f:text /c:50 提取最近50条创建记录
- 用 tasklist /svc /fo csv 对比当前存活进程与日志中刚创建却已消失的 PID
- 对可疑路径执行 sigcheck -a "C:\Temp\abc.exe" 查数字签名状态，无签名或签名无效即为高风险
