进程创建审核会在安全日志中生成 4688 事件；只有再启用“在进程创建事件中包括命令行”，事件里才会记录启动参数。命令行可能含密码、令牌或业务数据，因此启用前要限制安全日志读取权限，并评估日志容量和保留期。

启用审核进程创建

打开 gpedit.msc，进入“计算机配置 > Windows 设置 > 安全设置 > 高级审核策略配置 > 系统审核策略 > 详细跟踪”，打开“审核进程创建”，勾选“配置以下审核事件”和“成功”。示例图同时勾选了“失败”，但该子类别没有有意义的失败事件，实际配置时可只保留“成功”。

把命令行写入 4688

转到“计算机配置 > 管理模板 > 系统 > 审核进程创建”，将“在进程创建事件中包括命令行”设为“已启用”。应用后运行 gpupdate /force。这里记录的是明文参数，不要在命令行直接传递长期密码或访问令牌。

Abu阿布

一款AI开发辅助工具，主要用于本地运行的AI桌面办公助手，你说需求，阿布干活，适合需要提升相关任务效率的用户。

下载

用 4688 验证命令行字段

启动一个无敏感参数的测试程序，然后打开“事件查看器 > Windows 日志 > 安全”，筛选事件 ID 4688。打开最新事件，核对“新进程名称”“创建者进程名称”和“进程命令行”。若命令行仍为空，检查两项策略是否都生效以及安全日志是否来自当前电脑。