중지되었을 때 어떤 프로그램이 실행 중인지 어떻게 알 수 있습니까
기본적으로 어떤 프로그램이 실행되었는지에 대한 로그는 없습니다.
그러나 Windows 보안 이벤트 로그 에서 프로세스 추적 이벤트 를 사용하도록 설정할 수 있으며 (자세한 내용은 아래 참조) 나중에이 정보를 사용할 수 있습니다.
프로세스 추적 이벤트가 활성화되면 다음 Powershell 명령을 사용하여 이벤트를 검사 할 수 있습니다.
프로세스 시작 :
Get-EventLog Security | Where-Object {$_.EventID -eq 4688} | Format-List
프로세스 중지 :
Get-EventLog Security | Where-Object {$_.EventID -eq 4689} | Format-List
위의 명령은 이벤트 정보를 화면에 덤프합니다.
Windows 보안 로그에서 프로세스 추적 이벤트를 사용하는 방법
Windows 2003 / XP에서는 프로세스 추적 감사 정책을 활성화하여 이러한 이벤트를 얻습니다.
Windows 7 / 2008 +에서는 그룹 정책 개체의 고급 감사 정책 구성 아래에있는 감사 프로세스 생성 및 선택적으로 감사 프로세스 종료 하위 범주를 활성화해야합니다.
이러한 이벤트는 시스템에서 실행 파일을 프로세스로 시작할 때마다 포괄적 인 감사 추적을 제공하기 때문에 매우 중요합니다 . 두 이벤트 모두에서 찾은 프로세스 ID를 사용하여 프로세스 작성 이벤트를 프로세스 종료 이벤트에 링크하여 프로세스 실행 시간을 판별 할 수도 있습니다. 두 이벤트의 예가 아래에 나와 있습니다.
소스 Windows 보안 로그에서 사용 프로세스 추적 이벤트에 어떻게
감사 프로세스 생성을 활성화하는 방법
gpedit.msc를 실행하십시오.
"Windows 설정"> "보안 설정"> "로컬 정책"> "감사 정책"을 선택하십시오.
"감사 프로세스 추적"을 마우스 오른쪽 단추로 클릭하고 "속성"을 선택하십시오.
"성공"을 확인하고 "확인"을 클릭하십시오
감사 프로세스 추적이란 무엇입니까
이 보안 설정은 OS가 프로세스 작성, 프로세스 종료, 핸들 복제 및 간접 오브젝트 액세스와 같은 프로세스 관련 이벤트를 감사하는지 여부를 결정합니다.
이 정책 설정이 정의 된 경우 관리자는 성공 만, 실패 만, 성공과 실패를 모두 감사할지 또는 이러한 이벤트를 전혀 감사하지 않을지 (즉, 성공이나 실패 여부)를 지정할 수 있습니다.
성공 감사가 사용 가능한 경우, OS가 이러한 프로세스 관련 활동 중 하나를 수행 할 때마다 감사 항목이 생성됩니다.
감사 실패가 활성화되면 OS가 이러한 활동 중 하나를 수행하지 못할 때마다 감사 항목이 생성됩니다.
기본값 : 감사 없음
중요 : 감사 정책을보다 강력하게 제어하려면 Advanced Audit Policy Configuration (고급 감사 정책 구성) 노드의 설정을 사용하십시오. 고급 감사 정책 구성에 대한 자세한 내용은 http://go.microsoft.com/fwlink/?LinkId=140969를 참조하십시오
.
Nirsoft의 ExecutedProgramList는 어떻습니까? 사용할 수 있습니까?
ExecutedProgramList 는 실행 된 전체 프로그램 목록을 제공하지 않습니다.
예를 들어, 현재 엄지 드라이브에서 실행중인 휴대용 프로그램 (예 : Agent, Notepad ++, GSNotes) 및 마지막 재시작 이후에 실행 한 거의 모든 Cygwin 프로그램은 표시되지 않습니다.
링크에 언급 된 위치에 아무것도 쓰지 않는 프로그램은 나열하지 않습니다.
이전에 실행 된 프로그램 목록은 다음 데이터 소스에서 수집됩니다.
- 레지스트리 키 :
HKEY_CURRENT_USER\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
- 레지스트리 키 :
HKEY_CURRENT_USER\Microsoft\Windows\ShellNoRoam\MUICache
- 레지스트리 키 :
HKEY_CURRENT_USER\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Persisted
- 레지스트리 키 :
HKEY_CURRENT_USER\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store
- Windows 프리 페치 폴더 (C : \ Windows \ Prefetch)
소스 실행 프로그램 목록
추가 자료