Befehlszeile in Prozesserstellungsereignisse einschließen
Diese Einstellung erweitert Sicherheitsüberwachungsereignisse zur Prozesserstellung um die Befehlszeile des gestarteten Prozesses.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Audit\ProcessCreationIncludeCmdLine_Enabled
Diese Einstellung erweitert Sicherheitsüberwachungsereignisse zur Prozesserstellung um die Befehlszeile des gestarteten Prozesses. Ist der Wert aktiviert, trägt Windows den Namen der ausführbaren Datei und die ihr übergebenen Argumente im Feld „Prozessbefehlszeile“ des Ereignisses 4688 ein.
Die Einstellung erzeugt selbst keine Prozesserstellungsereignisse. Sie wirkt nur, wenn die Überwachungsunterkategorie „Prozesserstellung überwachen“ so konfiguriert ist, dass Windows Ereignis 4688 protokolliert. Bei deaktiviertem oder nicht vorhandenem Wert bleibt das Befehlszeilenfeld leer.
Die zusätzlichen Angaben erleichtern es, Prozessstarts zu untersuchen und beispielsweise zu erkennen, welches Skript, Unterprogramm oder welche Befehlszeilenoptionen mit einer Anwendung ausgeführt wurden.
Hinweise
Sicherheit
Befehlszeilen werden als Klartext im Windows-Sicherheitsprotokoll gespeichert. Argumente können Kennwörter, Zugriffstoken, Dateipfade, personenbezogene Daten oder andere vertrauliche Inhalte enthalten. Konten und Dienste mit Leseberechtigung für das Sicherheitsprotokoll können diese Angaben aus den betreffenden Ereignissen auslesen. Die Einstellung erweitert diese Leseberechtigung nicht, erhöht jedoch den Informationsgehalt der zugänglichen Ereignisse.
Gleichzeitig verbessert die erfasste Befehlszeile die Nachvollziehbarkeit von Prozessaktivitäten und kann die Erkennung sowie forensische Untersuchung verdächtiger Programm- und Skriptaufrufe unterstützen.
Hinweise
ProcessCreationIncludeCmdLine_Enabled ist ein Wert vom Typ REG_DWORD. Der Wert 1 entspricht der aktivierten Richtlinieneinstellung; 0 beziehungsweise ein nicht vorhandener Wert bewirkt, dass Ereignis 4688 keine Prozessbefehlszeile aufgrund dieser Einstellung enthält.
Das Feld für die Prozessbefehlszeile ist ab Version 1 des Ereignisses 4688 vorhanden, die mit Windows 8.1 und Windows Server 2012 R2 eingeführt wurde.
Microsoft-Dokumentation
Microsoft Learn: Überwachen von Befehlszeilenprozessen
Microsoft Learn: Richtlinien-CSP – ADMX_AuditSettings, IncludeCmdLine