Архитектура Планировщика заданий и удаление задач

Событие 4699 логируется в журнале Security при удалении задачи в Планировщике заданий (Task Scheduler). Это критическое событие для расследования инцидентов ИБ (DFIR). Современные хакеры, программы-вымогатели (Ransomware) и APT-группировки используют Планировщик заданий для закрепления в системе (Persistence), а после того как их вредоносный код успешно отработал (например, выгрузил пароли), они сразу же удаляют задачу, чтобы скрыть следы присутствия (Defense Evasion).

Связь с событием создания (4698)

Событие 4699 никогда не анализируется в вакууме. Оно является концом жизненного цикла задачи. Если вы видите 4699, вам нужно немедленно найти парное событие >4698 (Scheduled Task Created) по имени удаленной задачи, чтобы прочитать ее XML-код и узнать, КАКОЙ скрипт был запущен.

Пошаговое дерево решений (Threat Hunting)

Сценарий 1: Аудит удаления задач (Поиск 'короткоживущих' задач)

Самый мощный паттерн атаки — задача создается (4698) и удаляется (4699) в течение нескольких секунд или минут. Это 100% признак того, что отработал скрипт (например, PowerShell-загрузчик).

# Ищем удаленные задачи и пользователей, инициировавших удаление
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4699; StartTime=(Get-Date).AddDays(-7)} | 
    Select-Object TimeCreated, 
    @{N='TaskName';E={$_.Properties[0].Value}}, 
    @{N='UserWhoDeleted';E={$_.Properties[4].Value}} | Format-Table -AutoSize

Сценарий 2: Зачистка следов (Анти-форензика)

Если хакер получил права SYSTEM (или Domain Admin), он может попытаться удалить легитимные задачи мониторинга (например, задачи запуска агента Zabbix или Splunk). Если в событии 4699 вы видите удаление корпоративной задачи аудита, сервер скомпрометирован.

Сценарий 3: Фильтрация системного шума (Whitelisting)

Планировщик заданий используется самой ОС Windows для фонового обслуживания. Вы будете видеть тысячи событий 4699 для задач в папках \Microsoft\Windows\UpdateOrchestrator, \Microsoft\Windows\SoftwareProtectionPlatform и т.д. Обязательно исключайте системные пути из ваших SIEM-алертов.

Типовые ошибки администраторов

• Ожидание текста скрипта в логе: Само событие 4699 НЕ содержит пути к файлу или командной строке (Command Line), которые исполняла задача. Для этого вам обязательно нужен исторический лог 4698. Именно поэтому журнал Security нужно делать большим (от 2 ГБ), чтобы лог 4698 не успел перезаписаться к моменту расследования.