windows进程创建跟踪

最近ie会每天自动启动一次广告页面，追踪的话最直接的办法自然是看哪个程序创建了这个ie进程，如果windows自带有这个功能当然最方便，最可能的功能就是事件日志，经网上搜索，果然可以实现，原文在这里：点击打开链接

1. 审核进程创建

   打开“本地组策略（gpedit.msc）”，左侧列表打开“计算机配置——Windows 设置——安全设置——高级审核策略配置——系统审核策略——详细跟踪”，右侧双击“审核进程创建”，把配置“成功”和“失败”勾上。至此，审核进程创建已经配置完毕。
   

2. 查看日志

   打开“计算机管理（“计算机”右键“管理”，或compmgmt.msc）”，左侧“系统工具——事件查看器——Windows 日志——安全”，右侧即可看到Windows有关安全的事件日志。
   使用筛选器筛选出进程创建的事件（事件ID为4688），最终根据大概的时间段，找到net.exe创建的日志，可以看到创建者进程ID（PID）是0×1134，即十进制4404。