Event ID 4702: Запланированная задача обновлена (Scheduled Task Updated)
Описание события и риски безопасности
Событие 4702 логируется в журнале Security, когда существующая задача в Планировщике заданий (Task Scheduler) модифицируется. Это опасный вектор атаки: злоумышленники не создают новую подозрительную задачу (чтобы не вызвать событие 4698), а модифицируют легитимную системную задачу (например, обновление браузера или очистку диска), подменяя путь к исполняемому файлу на свой вредоносный скрипт.
Таблица параметров события 4702
| Параметр | Описание |
|---|---|
| TaskName | Путь и имя модифицированной задачи в дереве планировщика. |
| TaskContent | XML-содержимое задачи после обновления (триггеры, действия, аргументы). |
| SubjectUserName | Пользователь, внесший изменения в задачу. |
Сценарии аудита и проверка содержимого задач
Сценарий 1: Поиск модификаций задач планировщика за 7 дней
# Поиск измененных задач с выводом учетной записи администратора
Get-WinEvent -FilterHashtable @{LogName="Security"; ID=4702; StartTime=(Get-Date).AddDays(-7)} |
Select-Object TimeCreated,
@{N="TaskName";E={$_.Properties[0].Value}},
@{N="Admin";E={$_.Properties[4].Value}} | Format-Table -AutoSizeСценарий 2: Экспорт и проверка тела задачи (XML)
Проверьте, какая команда была внедрена в измененную задачу:
# Получение полной информации о задаче через CLI
schtasks /query /tn "Имя_Задачи" /xmlТиповые ошибки администраторов
- Игнорирование изменений задач от SYSTEM: Задачи обновления Windows Update могут обновляться автоматически. Но если задача в корне
\обновляется от SYSTEM — проверьте родительский процесс.
Планировщик заданий — главный инструмент устойчивости malware (Persistence). Возьмем сервера на мониторинг: внедрим контроль целостности задач, заблокируем несогласованные скрипты и защитим систему.
Частые вопросы (FAQ)
Чем 4702 отличается от 4698?
4698 генерируется при СОЗДАНИИ новой задачи. 4702 генерируется при ИЗМЕНЕНИИ параметров уже существующей задачи.
Генерируется ли 4702 при отключении задачи (Disable)?
Да, изменение статуса задачи с Enabled на Disabled меняет её конфигурацию и генерирует событие 4702 или 4700/4701.
Где хранятся файлы задач планировщика в Windows?
Физические XML-файлы задач хранятся в защищенном системном каталоге C:\Windows\System32\Tasks.
Как восстановить оригинальную задачу, если её подменили?
Удалите поврежденную задачу через schtasks /delete и импортируйте эталонную конфигурацию из резервной копии или с чистого сервера.
