Event 4688: proceskørsel og kommandolinje i Windows‑loggen

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Hændelse 4688 i Windows’ Security-log skrives, hver gang en ny proces startes. Den viser, hvilket program der blev kørt, af hvilken konto, fra hvilken forælderproces og, hvis det er slået til, med hvilken kommandolinje. Det gør 4688 til en af de vigtigste hændelser i undersøgelser af hackerangreb, misbrug af administratorrettigheder og datatyveri. Men hændelsen skrives kun, hvis revisionspolitikken er sat op til det, og den fylder meget i loggen.

Artiklen er skrevet til SOC’er og IT-folk, der skal bruge 4688 som kilde i en sag, og som vil vide, hvad den kan bære. De andre centrale logonhændelser er beskrevet i Event 4624 og 4625.

Forudsætninger

To indstillinger afgør, om 4688 er brugbar:

Audit Process Creation i den avancerede revisionspolitik skal være slået til for succes. Ellers skrives hændelsen slet ikke.
Include command line in process creation events under administrative skabeloner skal være slået til. Ellers er feltet med kommandolinjen tomt.

Den aktuelle tilstand kan dokumenteres med auditpol /get /subcategory:"Process Creation" og ved at aflæse den tilhørende gruppepolitik. Se Windows audit policy. Microsoft gør opmærksom på, at kommandolinjer kan indeholde følsomme oplysninger som adgangskoder i klartekst, og at alle med læseadgang til Security-loggen kan se dem.

Felterne

Hændelsen findes i flere versioner. Version 1 tilføjede kommandolinjen, og version 2 i Windows 10 tilføjede bl.a. forælderprocessens navn og et særskilt afsnit for målkontoen.

Creator Subject · Kontoen, der startede processen, med SID og logon-id
Target Subject · Kontoen, processen kører som, hvis den er en anden end den startende
New Process ID og New Process Name · Den nye proces’ id i hexadecimal og fuld sti til programmet
Token Elevation Type · Om processen kørte med fuldt, forhøjet eller begrænset token
Mandatory Label · Integritetsniveau, fx medium, høj eller system
Creator Process ID og Creator Process Name · Forælderprocessen
Process Command Line · Programmet og de argumenter, det blev startet med

Token Elevation Type er nyttig ved spørgsmål om administratorrettigheder. Microsoft beskriver %%1937 som et forhøjet token, typisk når en bruger har valgt Kør som administrator, og %%1938 som et begrænset token, hvor administratorrettighederne er fjernet. %%1936 er et fuldt token, som bruges, når UAC er slået fra, eller af den indbyggede administratorkonto og tjenestekonti.

Kobling til andre hændelser

4688 står sjældent alene. Logon-id’et i Creator Subject er det samme som i den 4624, der startede sessionen. Det gør det muligt at se, om processen blev startet i en interaktiv session, via fjernskrivebord eller over netværket. Hændelse 4689 markerer, at processen sluttede, hvis Audit Process Termination også er slået til. Process-id’et kan genbruges af Windows, så kobling mellem start og slut skal ske på både id, tidspunkt og maskine.

Forælderprocessen giver ofte den vigtigste kontekst. Et kommandovindue eller PowerShell startet af et Office-program, en browser eller en mailklient er et klassisk tegn på en ondsindet vedhæftning eller et makro-angreb. Det samme program startet af Stifinder er sandsynligvis en bruger, der klikkede.

Analyse

Med tusindvis af hændelser pr. dag skal analysen være struktureret:

Afgræns tid, maskiner og konti ud fra spørgsmålet.
Optæl programmer og forældre-barn-par på tværs af maskiner. Det sjældne er ofte det interessante.
Læs kommandolinjer for de relevante processer, især for indbyggede værktøjer som PowerShell, cmd.exe, rundll32.exe, certutil.exe og fjernadministrationsværktøjer, der kan bruges både legitimt og til angreb.
Sæt det på en tidslinje sammen med logon, netværk og filsystem.

PowerShell-kommandoer, der kører scripts, viser i 4688 kun selve kaldet. Indholdet af scriptet skal findes i PowerShell-loggen; se PowerShell-logning.

Mønstre, der ofte undersøges

Uden at gøre et fund til en konklusion er der nogle mønstre, som ofte giver anledning til nærmere undersøgelse:

Kontorprogrammer, browsere og mailklienter, der starter kommandofortolkere eller scriptværktøjer.
Programmer, der kører fra brugerens midlertidige mapper, overførsler eller C:\Users\Public.
Indbyggede værktøjer brugt med usædvanlige argumenter, fx til at hente filer fra internettet.
Fjernadgangsværktøjer, der startes på maskiner, hvor de ikke er godkendt.
Kommandoer, der opretter konti, ændrer gruppemedlemskaber eller sletter skyggekopier.

Hvert fund skal vurderes mod det normale for netop det miljø. Mange af de samme kommandoer bruges dagligt af IT-afdelingen, softwareudrulning og overvågningsværktøjer.

4688 eller Sysmon?

Mange miljøer har begge kilder. 4688 er indbygget og kræver kun en politik, mens Sysmon skal installeres og konfigureres. Sysmon giver mere: hashværdier, netværksforbindelser, filoprettelser og en mere detaljeret forælderkæde. Til gengæld er 4688 ofte til stede i miljøer, hvor ingen har tænkt på forensic readiness. I en undersøgelse bruges det, der findes, og forskellene beskrives.

Fejlkilder

Sti, ikke identitet. Feltet viser filnavn og sti, ikke en hashværdi. Et program kan være omdøbt, eller et ondsindet program kan ligge med et legitimt navn. Sysmons hændelse 1 for proceskørsel indeholder hashværdier og er et godt supplement; se Sysmon som datakilde.
Forælder kan være misvisende. Visse teknikker kan få en proces til at fremstå, som om den er startet af en anden forælder. Krydstjek med EDR-telemetri, hvis den findes.
Kortlivede processer. Hændelsen viser starten. Om programmet gjorde noget, og om det lykkedes, fremgår ikke.
Manglende hændelser. Var politikken ikke slået til i hele perioden, er fravær af 4688 ikke fravær af kørsel. Andre kilder som Prefetch og Amcache kan delvist udfylde hullet; se Prefetch, Amcache og Shimcache.
Logstørrelse. Procesrevision får Security-loggen til at vokse hurtigt. Uden større log eller central opsamling kan relevante hændelser være overskrevet; se hvor længe gemmes event log.

Fjernkørsel og tjenester

Processer startet over netværket, fx via fjernadministration, planlagte opgaver eller tjenester, registreres på den maskine, hvor de kører, ikke på den maskine, hvorfra de blev startet. Den startende konto i 4688 er så ofte en tjenestekonto eller SYSTEM, og forælderen er en tjenestevært. Koblingen til den person eller maskine, der satte kørslen i gang, skal findes via logonhændelser med netværkslogon og kildeadresse, og eventuelt via logs fra administrationsværktøjet.

Sikring

Security-loggen sikres som EVTX-fil med hashværdi, og konfigurationen af revisionspolitikken dokumenteres samtidig. Findes hændelserne også i en SIEM, sikres begge kilder, så de kan sammenholdes. Gruppepolitikkens historik og hændelse 4719 kan vise, om indstillingerne blev ændret i perioden.

Hvad 4688 kan og ikke kan bevise

4688 kan vise, at et bestemt program blev startet på en bestemt maskine på et bestemt tidspunkt af en bestemt konto, med bestemte argumenter og fra en bestemt forælder. Den kan ikke vise, hvad programmet faktisk gjorde, om det lykkedes, eller hvem der sad ved tastaturet. Konklusioner bør derfor bygge på 4688 sammen med logon, fil- og netværksspor, og rapporten bør angive, om revisionen var slået til i hele den undersøgte periode.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Hvor længe gemmes Windows’ event log? Størrelse og overskrivning · Nedbrudsdumps og fejlrapporter (WER)

→ Forensisk undersøgelse af en computer · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik

Brug for en forensisk undersøgelse?

Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.

Eller kontakt os på