Bạn có thể có thể thiết lập các cặp ứng dụng cụ thể để chạy bằng cách sử dụng sổ đăng ký và thay đổi những gì liên quan đến mimetypes. Tuy nhiên, một cách khác chung chung hơn và phức tạp hơn nhiều là sử dụng Trình lập lịch tác vụ. Bộ lập lịch tác vụ có thể khởi động một ứng dụng dựa trên nhiều loại kích hoạt khác nhau, bao gồm các mục Nhật ký Sự kiện.
Vì vậy, tất cả những gì chúng ta cần là đảm bảo một sự kiện được tạo bất cứ khi nào một ứng dụng bắt đầu và sau đó tạo một tác vụ theo lịch trình để bắt đầu bất cứ khi nào sự kiện được ghi lại.
Bật ghi nhật ký 'bắt đầu ứng dụng'
- Bắt đầu và nhập
secpol.mscvào hộp Run
- Điều hướng đến Chính sách địa phương / Chính sách kiểm toán
- Double Click Kiểm tra theo dõi quá trình và kích hoạt
Success
Bây giờ, nếu bạn khởi động bất kỳ ứng dụng nào, nếu bạn xem trong Nhật ký sự kiện / Nhật ký bảo mật, bạn sẽ thấy một sự kiện Tạo quy trình4688 mỗi khi ứng dụng được khởi động.
Tạo tác vụ theo lịch trình dựa trên kích hoạt
- Mở Trình lập lịch tác vụ và tạo một tác vụ mới
- Trên tab chung , đặt tên cho tác vụ
- Trên tab Kích hoạt , tạo trình kích hoạt mới và chọn Bật sự kiện làm trình kích hoạt
- Chọn tùy chỉnh và nhấp vào Chỉnh sửa bộ lọc sự kiện
- Thay đổi cài đặt Bộ lọc như sau:
Bây giờ Chuyển sang tab XML và cho phép chỉnh sửa truy vấn theo cách thủ công
Bạn sẽ thấy như sau
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 13312 and (band(Keywords,9007199254740992)) and (EventID=4688)]]
</Select>
</Query>
</QueryList>
Bây giờ bạn chỉ cần thêm ứng dụng bạn muốn gây ra kích hoạt. Ví dụ: cái này sử dụng notepad.exelàm kích hoạt:
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 13312 and (band(Keywords,9007199254740992)) and (EventID=4688)]]
and
*[EventData[Data[@Name='NewProcessName'] and (Data='C:\Windows\System32\notepad.exe')]]
</Select>
</Query>
</QueryList>
Nhấn vào Okđây, sau đó Okđể đóng hộp thoại kích hoạt.
Bây giờ, chọn tab Hành động và tạo một hành động mới, nghĩa là Start a Programvà duyệt đến ứng dụng bạn muốn bắt đầu cùng với ứng dụng kích hoạt.