Windows 4698은 예약 작업이 새로 생성됐다는 이벤트입니다. 이벤트 XML의 작업 정의와 생성 계정은 등록 내용을 조사하는 근거지만, 그 작업이 나중에 실행됐거나 피해를 만들었다는 증거는 아닙니다.
실행 여부를 살피려면 4688 등 프로세스 생성 자료와 작업 이력, 호스트·시간·계정·실행 경로를 추가로 맞춰야 합니다. 이벤트의 등록 사실과 실제 실행, 악성 여부는 각각 별도로 결론 냅니다.
4698은 생성 이벤트이지 실행 성공 이벤트가 아닙니다
Microsoft의 4698(S) 설명은 새 예약 작업이 생성될 때 이 이벤트가 발생한다고 명시합니다. 예시 XML에는 작업 이름, 생성 주체의 계정·로그온 ID와 작업 정의를 담는 TaskContent가 나타납니다. TaskContent 안에는 등록 정보, trigger, principal, 실행 action 같은 설정이 보일 수 있습니다. 그러나 이벤트가 등록 시점의 산출물이므로 trigger 예정 시각에 실제로 실행됐는지 또는 action이 성공했는지는 별도 자료가 필요합니다.
Microsoft의 4688(S) 설명은 새 프로세스가 시작될 때 생성되는 이벤트를 다룹니다. 이 이벤트와 작업 정의의 실행 파일·계정·시간을 비교하면 실행 후보를 찾을 수 있습니다. 다만 작업 실행과 프로세스 생성 사이에 항상 동일한 단일 ID가 기록된다고 단정하면 안 됩니다. 감사 설정, 이벤트 버전, 로그 보존 상태에 따라 수집 필드가 달라질 수 있습니다.
창작 작업 등록과 후속 기록을 분류합니다
| 자료 | 가상 관측값 | 증명하는 범위 |
|---|---|---|
| 4698 생성 | host=WS-08, 10:00Z, subject=svc-update, task=\Vendor\DailyUpdate | 해당 호스트에서 그 이름의 작업이 생성된 기록 |
| TaskContent | principal=svc-update, trigger=매일 02:00, action=C:\Program Files\Vendor\Updater.exe | 작업 XML에 기록된 실행 조건과 대상. 실제 실행 결과는 아님 |
| 승인 자료 | 변경 요청 CHG-208, 09:30 승인, 대상 WS-08 및 updater 경로 명시 | 등록이 승인된 변경인지 비교할 조직 맥락 |
| 4688 생성 | host=WS-08, 다음날 02:00:03Z, NewProcessId=0x4C4, image=Updater.exe | 프로세스가 생성됐다는 기록. 이 작업에서 시작됐다는 직접 연결은 추가 확인 필요 |
| 작업 이력 | 마지막 실행 시각 02:00 기록, 결과 상세 미수집 | 실행 시도 후보를 보완하지만 완료·파일 변경 결과는 별도 자료 필요 |
여기서는 4698이 보여 주는 등록 시각과 XML의 예정 trigger를 실제 실행 시각으로 혼동하지 않습니다. 다음날 4688이 같은 호스트·비슷한 시간·같은 실행 파일을 보이면 작업이 실행됐을 가능성을 뒷받침하지만, 서비스나 다른 관리 동작도 같은 파일을 실행했을 수 있습니다. 승인 요청에는 작업명·호스트·실행 경로가 정확히 일치하는지 보고, 실행 주체의 계정과 로그온 맥락도 대조합니다. 이름만 같은 작업이라도 TaskContent의 명령 경로가 승인 자료와 다르면 별도 조사 후보로 남깁니다.
등록에서 영향까지 단계별로 검증합니다
- 원본 4698 이벤트의 호스트·시각·주체 계정·로그온 식별자와 이벤트 버전을 확인합니다.
- TaskName뿐 아니라 TaskContent의 action 경로, 인자, principal, trigger, enabled 상태를 읽습니다.
- 해당 호스트의 변경 승인 기록과 작업 소유자·운영 목적을 대조하고, 작업 이름만 보고 정상 또는 악성으로 분류하지 않습니다.
- 예정된 trigger 전후로 작업 실행 이력과 4688 프로세스 생성 기록을 찾고, 시간대·호스트·이미지·계정 필드를 맞춥니다.
- 실행 프로세스의 결과를 애플리케이션·파일 무결성·네트워크 기록으로 확인합니다. 실행 기록은 작업 결과나 피해를 증명하지 않습니다.
- 필드 누락, 정책 비활성화, 보존·전달 공백을 확인하고 입증된 등록·실행·영향과 미확인 상태를 따로 보고합니다.
등록된 작업 이름만으로 의도를 추측하지 않습니다
업데이트 작업은 예약 실행이 정상일 수 있고, 반대로 정상적으로 보이는 이름 아래 다른 실행 대상이 등록될 수도 있습니다. 이름은 사람이 정하는 문자열이므로 승인 여부, XML 내용, 계정, 후속 실행을 대체하지 못합니다. 작업이 있었지만 4688을 찾지 못한 경우에도 감사 정책과 로그 보존을 확인해야 합니다. 기록이 없다는 이유만으로 실행하지 않았다고 결론 내리지 않습니다.
복습: 4698만으로 실행이 증명되나요?
문제: 4698에 작업 XML과 다음 날 02:00 trigger가 있습니다. 다음날 실행 기록을 찾지 못했습니다. 작업이 실행되지 않았다고 보고해도 될까요?
정답: 아직 단정할 수 없습니다. 4698은 등록 증거입니다. 4688·작업 이력과 감사 정책·보존 범위를 확인하고, 자료가 없으면 실행 여부는 미확정으로 남깁니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 4698에는 C:\Program Files\Vendor\Updater.exe 작업이 생성된 것으로 기록됐고 이후 같은 호스트에서 4688에 같은 이미지가 보였습니다. 이 자료가 증명하는 두 사실과 아직 필요한 확인을 말하세요.
정답과 해설 확인
작업이 등록됐고 같은 호스트에서 해당 이미지의 프로세스가 생성됐다는 점을 각각 말할 수 있습니다. 프로세스가 그 작업에서 시작됐는지 작업 이력·계정·시간을 연결하고, 실제 작업 결과·승인 여부는 추가 확인해야 합니다.4698은 등록 이벤트이고 4688은 프로세스 생성 이벤트입니다. 시간·이미지의 일치만으로 인과관계나 악성 여부가 확정되지 않습니다.