用途：在 Windows 环境中主动狩猎攻击者利用计划任务实现的持久化与执行（T1053.005）。适用时机包括：主动排查持久化机制、在进程创建日志中发现 schtasks.exe 或 at.exe 使用后、调查可跨重启和注销存活的恶意软件、事件响应中枚举受感染系统的全部持久化、以及安全事件 ID 4698（计划任务已创建）出现异常任务时。
主要能力：枚举全部计划任务；监控任务创建事件并关联创建进程与用户上下文；分析任务动作，标记运行脚本（PowerShell、cmd、wscript）、来自用户可写路径（TEMP、AppData、Downloads）的二进制或编码/混淆命令；检查触发器，关注系统启动、用户登录或短间隔（1-5 分钟）；识别伪装成合法 Windows 任务的名称、被修改安全描述符以隐藏的任务、以及非标准注册表位置存储的任务；将任务执行事件与进程创建日志关联；与已知良好基线对比找出新增、修改或异常任务。
必要数据源：Windows 安全事件 ID 4698/4699/4702（任务创建/删除/更新）；Sysmon 事件 ID 1（含命令行的 schtasks.exe 进程创建）；Windows 任务计划程序操作日志（Microsoft-Windows-TaskScheduler/Operational）；PowerShell 日志（Register-ScheduledTask 使用）；端点上的任务计划程序 XML 定义。
使用方式：可用 schtasks /query /fo CSV /v 或 Get-ScheduledTask 收集任务清单；资料提供 Splunk 与 Microsoft Sentinel（KQL）检测查询示例，用于筛选 4698 事件及 schtasks.exe 可疑用法。输出格式包含 Hunt ID、主机、任务名、动作、触发器、创建者、创建来源、创建时间、运行账户与风险等级。
常见场景：Cobalt Strike 通过 schtasks.exe 创建登录时执行 PowerShell 下载器的任务；勒索软件预置未来加密载荷任务；通过修改安全描述符隐藏任务；滥用 COM 处理程序；使用 schtasks /create /s REMOTE_HOST 进行横向移动。
限制：资料未提供具体安装命令、收费信息或平台支持范围，相关内容暂未提供。