// Nachschlagewerk
Event-IDs aus dem Kanal Microsoft-Windows-TaskScheduler/Operational: neue, geänderte und gelöschte geplante Aufgaben sowie jede Ausführung einer Aufgabe mit dem gestarteten Programm.
Geplante Aufgaben gehören zu den häufigsten Wegen für Persistenz und Remote-Ausführung. Werkzeuge wie Impacket atexec legen eine Aufgabe an, führen sie aus und löschen sie sofort wieder. Das Aufgabenplanungs-Log zeigt diesen Ablauf mit Event 106, 200 und 141 und ergänzt damit Event 4698 aus dem Security-Log, das eine eigene Überwachungsrichtlinie voraussetzt.
Der Kanal ist auf vielen Systemen standardmäßig deaktiviert. Aktiviere ihn über den Verlauf in der Aufgabenplanung oder per wevtutil und leite ihn an dein SIEM weiter.
// Nach Log-Kanal
// Nach MITRE-Taktik
| ID | Bedeutung | Kanal | Relevanz | MITRE |
|---|---|---|---|---|
| 106 | Geplante Aufgabe registriert, geändert oder gelöscht | Aufgabenplanung | hoch | T1053.005 |