Windows 计划任务执行结果 事件日志审计

Windows计划任务执行结果默认记录在“应用程序和服务日志→Microsoft→Windows→TaskScheduler→Operational”，需确保该日志启用（可用wevtutil启用）、容量足够且未被覆盖，并结合事件ID（如100/101/300）及PowerShell筛选精准审计。

windows 计划任务的执行结果会默认记录在“应用程序和服务日志” → “microsoft” → “windows” → “taskscheduler”下，无需额外启用审核策略，但需确保系统服务正常运行且日志未被禁用或覆盖。

确认计划任务日志是否已启用

TaskScheduler 日志默认处于启用状态，但部分精简版系统或经组策略禁用后可能不可见。验证方法：

• 打开事件查看器（eventvwr.msc）
• 展开左侧树：应用程序和服务日志 → Microsoft → Windows → TaskScheduler
• 若能看到Operational日志（非空），说明已启用；若为空白或提示“日志已被禁用”，需手动启用

启用命令（管理员权限运行）：
wevtutil sl "Microsoft-Windows-TaskScheduler/Operational" /e:true

关键事件 ID 与含义

TaskScheduler/Operational 日志中，以下事件 ID 最具审计价值：

• 100：任务成功启动（含触发条件、用户上下文、工作目录）
• 101：任务成功完成（含退出代码，如 0 表示正常，非 0 表示异常）
• 200：任务因策略限制（如电源状态、网络连接）被跳过
• 201：任务因用户未登录、无交互会话而未运行（常见于配置为“仅当用户登录时”的任务）
• 300：任务启动失败（如路径错误、权限不足、脚本不存在）
• 400：任务被手动停止或超时终止

定位特定任务的日志

避免在海量日志中手动翻找，推荐两种高效方式：

• 按任务名称筛选：右键 Operational 日志 → “筛选当前日志” → 在“事件源”选 Microsoft-Windows-TaskScheduler，在“事件ID”填入所需 ID（如 100,101,300），再在“关键字”栏输入任务全名（如 MyBackupScript）
• PowerShell 快速查询（管理员运行）：
  Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TaskScheduler/Operational'; ID=101,100; StartTime=(Get-Date).AddDays(-7)} | Where-Object {$_.Properties[0].Value -like '*MyBackupScript*'} | Select TimeCreated, Id, Message

增强审计可靠性的实操建议

仅依赖默认日志存在风险——例如任务以 SYSTEM 身份运行时，不记录具体调用参数；或日志被覆盖导致历史丢失。建议补充以下配置：

• 增大 Operational 日志容量：右键该日志 → 属性 → 设置最大大小 ≥ 102400 KB（100MB），勾选“按需要覆盖事件”，避免关键记录被清空
• 在任务操作中追加日志输出：在计划任务的“操作”中，将原命令包装为批处理或 PowerShell 脚本，开头写入启动时间，结尾用 echo %date% %time% >> C:LogsMyTask.log 或 Add-Content -Path C:LogsMyTask.log -Value "$(Get-Date): ExitCode=$LASTEXITCODE"
• 关联安全日志交叉验证：若任务以特定用户身份运行，可在“安全”日志中搜索对应用户的登录事件（ID 4624）和进程创建事件（ID 4688），确认执行上下文是否合规