Comment savoir quels programmes ont été exécutés lorsqu'ils ont été arrêtés
Par défaut, il n'existe aucun journal des programmes exécutés.
Cependant, vous pouvez activer les événements de suivi des processus dans le journal des événements de sécurité de Windows (voir ci-dessous pour les instructions) et ces informations seront alors disponibles à l'avenir.
Une fois les événements de suivi des processus activés, vous pouvez utiliser les commandes Powershell suivantes pour examiner les événements:
Début du processus:
Get-EventLog Security | Where-Object {$_.EventID -eq 4688} | Format-List
Arrêt du processus:
Get-EventLog Security | Where-Object {$_.EventID -eq 4689} | Format-List
Les commandes ci-dessus transfèrent les informations sur l'événement à l'écran.
Comment utiliser les événements de suivi des processus dans le journal de sécurité Windows
Dans Windows 2003 / XP, vous obtenez ces événements en activant simplement la stratégie d'audit de suivi des processus.
Dans Windows 7/2008 +, vous devez activer la création du processus d'audit et, éventuellement, les sous-catégories Audit Process Termination que vous trouverez sous Advanced Audit Policy Configuration dans les objets de stratégie de groupe.
Ces événements sont incroyablement précieux car ils fournissent une piste d'audit complète de chaque démarrage d'un exécutable sur le système en tant que processus . Vous pouvez même déterminer la durée du processus en liant l'événement de création de processus à l'événement de fin de processus à l'aide de l'ID de processus trouvé dans les deux événements. Des exemples des deux événements sont présentés ci-dessous.
Source Comment utiliser les événements de suivi des processus dans le journal de sécurité Windows
Comment activer la création de processus d'audit
Exécutez gpedit.msc
Sélectionnez "Paramètres Windows"> "Paramètres de sécurité"> "Stratégies locales"> "Stratégie d'audit"
Faites un clic droit sur "Suivi du processus d'audit" et sélectionnez "Propriétés"
Cochez "Succès" et cliquez sur "OK"
Qu'est-ce que le suivi du processus d'audit
Ce paramètre de sécurité détermine si le système d'exploitation audite les événements liés au processus tels que la création de processus, la fin du processus, la duplication de gestion et l'accès indirect aux objets.
Si ce paramètre de stratégie est défini, l'administrateur peut spécifier s'il convient d'auditer uniquement les succès, uniquement les échecs, à la fois les succès et les échecs, ou de ne pas auditer ces événements du tout (c'est-à-dire ni les succès ni les échecs).
Si l'audit réussi est activé, une entrée d'audit est générée chaque fois que le système d'exploitation exécute l'une de ces activités liées au processus.
Si l'audit des échecs est activé, une entrée d'audit est générée chaque fois que le système d'exploitation ne parvient pas à effectuer l'une de ces activités.
Par défaut: aucun audit
Important: pour mieux contrôler les stratégies d'audit, utilisez les paramètres du nœud Configuration avancée de la stratégie d'audit. Pour plus d'informations sur la configuration de stratégie d'audit avancée, voir
http://go.microsoft.com/fwlink/?LinkId=140969 .
Qu'en est-il de ExecutedProgramList de Nirsoft? Puis-je l'utiliser?
ExecutedProgramList ne donne pas une liste complète des programmes qui ont été exécutés.
Par exemple, il ne répertorie aucun des programmes portables que j'exécute actuellement à partir de ma clé USB, par exemple Agent, Notepad ++, GSNotes ainsi que presque tous les programmes Cygwin que j'ai exécutés depuis mon dernier redémarrage.
Il ne répertorie aucun programme qui n'écrit rien aux emplacements mentionnés dans le lien:
La liste des programmes précédemment exécutés est collectée à partir des sources de données suivantes:
- Clé d'enregistrement:
HKEY_CURRENT_USER\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
- Clé d'enregistrement:
HKEY_CURRENT_USER\Microsoft\Windows\ShellNoRoam\MUICache
- Clé d'enregistrement:
HKEY_CURRENT_USER\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Persisted
- Clé d'enregistrement:
HKEY_CURRENT_USER\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store
- Dossier Windows Prefetch (C: \ Windows \ Prefetch)
Source ExecutedProgramList
Lectures complémentaires