質問: pidがまだ残っている場合、終了したwindowsプロセスを識別する方法は? 背景:仕事の途中で、突然「microsoft mouse and keyboard center」をインストールするためのライセンス契約が表示されました。どのプロセスがセットアップを起動したのかを理解したいのですが、process explorerを使用して、それがなくなったのを確認しました。pidのみを見つけることができました(スクリーンショットを参照)。質問: process explorer を使用している場合は、プロセスの親プロセスが存在せず、そのpidのみを表示できる状況を知っている可能性があります。 実行中のプロセスへのpidの関連付けを含むいくつかのwindowsログがありますので、特定のpidで実行されているプロセスを確認できますか?システムのイベントをキャプチャするために process monitor を使用しなかったため、これを期待していなかったシナリオに興味があるのが望ましいです。
回答: 実行中のプロセスへのpidの関連付けを含むいくつかのwindowsログはありますかデフォルトでは、そのようなログはありません。ただし、windowsセキュリティイベントログでプロセス追跡イベントを有効にすることができます。ノート: このソリューションでは、gpeditを使用してグループポリシーを変更する必要があります。 残念ながら、グループポリシーエディター(gpedit)は、windowsのstarter edition、home、home premiumエディションには含まれていません。 インストール方法については、q&a windows starter edition、home、home premiumにはgpeditが含まれていません。どうすればインストールできますか? を参照してください。 windowsセキュリティログでプロセス追跡イベントを使用する方法windows 2003/xpでは、プロセス追跡監査ポリシーを有効にするだけでこれらのイベントを取得できます。windows 7/2008以降では、監査プロセスの作成を有効にする必要があり、オプションで、グループポリシーオブジェクトの[詳細な監査ポリシーの構成]にある監査プロセスの終了サブカテゴリを有効にする必要があります。これらのイベントは、システム上の実行可能ファイルがプロセスとして開始されるたびに包括的な監査証跡を提供するため、非常に貴重です。両方のイベントにあるプロセスidを使用して、プロセス作成イベントをプロセス終了イベントにリンクすることにより、プロセスの実行時間を判断することもできます。両方のイベントの例を以下に示します。 ソース windowsセキュリティログでプロセストラッキングイベントを使用する方法 監査プロセスの作成を有効にする方法 gpedit.mscを実行します。 [windowsの設定]> [セキュリティの設定]> [ローカルポリシー]> [監査ポリシー]を選択します 「監査プロセスの追跡」を右クリックし、「プロパティ」を選択します 「成功」にチェックを入れ、「ok」をクリックします 監査プロセス追跡とは このセキュリティ設定は、osがプロセスの作成、プロセスの終了、ハンドルの複製、間接的なオブジェクトアクセスなどのプロセス関連のイベントを監査するかどうかを決定します。 このポリシー設定が定義されている場合、管理者は、成功のみ、失敗のみ、成功と失敗の両方を監査するか、これらのイベントをまったく監査しない(つまり、成功も失敗もしない)かを指定できます。 成功の監査が有効になっている場合、osがこれらのプロセス関連のアクティビティの1つを実行するたびに監査エントリが生成されます。 失敗の監査が有効になっている場合、osがこれらのアクティビティのいずれかを実行するのに失敗するたびに監査エントリが生成されます。 デフォルト:監査なし 重要:監査ポリシーをより詳細に制御するには、「拡張監査ポリシー構成」ノードの設定を使用してください。高度な監査ポリシー構成の詳細については、「 http://go.microsoft.com/fwlink/?linkid=140969 」を参照してください。