windows進程創建跟蹤

最近ie會每天自動啓動一次廣告頁面，追蹤的話最直接的辦法自然是看哪個程序創建了這個ie進程，如果windows自帶有這個功能當然最方便，最可能的功能就是事件日誌，經網上搜索，果然可以實現，原文在這裏：點擊打開鏈接

1. 審覈進程創建

   打開“本地組策略（gpedit.msc）”，左側列表打開“計算機配置——Windows 設置——安全設置——高級審覈策略配置——系統審覈策略——詳細跟蹤”，右側雙擊“審覈進程創建”，把配置“成功”和“失敗”勾上。至此，審覈進程創建已經配置完畢。
   

2. 查看日誌

   打開“計算機管理（“計算機”右鍵“管理”，或compmgmt.msc）”，左側“系統工具——事件查看器——Windows 日誌——安全”，右側即可看到Windows有關安全的事件日誌。
   使用篩選器篩選出進程創建的事件（事件ID爲4688），最終根據大概的時間段，找到net.exe創建的日誌，可以看到創建者進程ID（PID）是0×1134，即十進制4404。