用途：检测攻击者滥用 Windows 计划任务（MITRE T1053.005）进行持久化与横向移动的行为。Sysmon 事件 ID 1 记录 schtasks.exe 进程创建及其完整命令行；事件 ID 11 记录写入 C:\Windows\System32\Tasks 的任务 XML 文件；Windows 安全事件 4698 记录任务注册详情，本技能通过关联这些事件识别可疑任务。
主要能力：为 schtasks.exe /create 等带可疑参数的命令构建检测规则；将事件 4698 与 Sysmon 事件 1 做关联；搜索从公共目录执行或使用编码命令的任务；对远程创建任务（schtasks /s）告警以发现横向移动；输出示例会标注任务名、命令行、创建者、父进程、来源与 MITRE 编号。
使用方式：先以检测型配置安装 Sysmon（如 SwiftOnSecurity 或 Olaf Hartong 配置），将 Windows 事件日志转发至 SIEM（Splunk、Elastic 或 Sentinel），启用 PowerShell ScriptBlock Logging（事件 4104）；随后配置 Sysmon 记录事件 ID 1、11、12、13 并加任务相关过滤；再按上述步骤建立检测规则、关联与狩猎查询。
适用场景：安全事件调查、检测规则与威胁狩猎查询编写、SOC 分析师的结构化分析流程、验证相关攻击技术的监控覆盖。
限制：资料未提供具体规则语法、完整代码示例或工具安装命令细节，需结合所用 SIEM 与 Sysmon 配置实现；依赖日志采集与转发是否到位。