Windowsのシャットダウン時、何をしているのか“のぞき見”したい！

画面5　監視されたアクティビティーは、イベントログの「Microsoft-Windows-Sysmon/Operational」に記録される。ブート時の監視開始は、イベントID 4のSysmonサービスの開始で判断できる