windows下通过net user add和powershell添加用户，sysmon仅仅采集到进程，而在windows安全日志可以看到账户添加信息

执行操作：

C:\Windows\system32>net user /add "jack" "fuckoff"
命令成功完成。


C:\Windows\system32>powershell
Windows PowerShell
版权所有 (C) Microsoft Corporation。保留所有权利。

尝试新的跨平台 PowerShell https://aka.ms/pscore6

PS C:\Windows\system32> new-localuser -name "kaka" -NoPassword

Name Enabled Description
---- ------- -----------
kaka True

打开windows安全日志，可以看到4720 账户成功添加的信息

 

 

 

 

 

已创建用户帐户。

使用者:
	安全 ID:		DESKTOP-CIBNM6P\bonel
	帐户名:		bonel
	帐户域:		DESKTOP-CIBNM6P
	登录 ID:		0x37DBF

新帐户:
	安全 ID:		DESKTOP-CIBNM6P\kaka
	帐户名:		kaka
	帐户域:		DESKTOP-CIBNM6P

属性:
	SAM 帐户名:	kaka
	显示名称:	<未设置值>
	用户主体名称:	-
	主目录:		<未设置值>
	主驱动器:	<未设置值>
	脚本路径:	<未设置值>
	配置文件路径:	<未设置值>
	用户工作站:	<未设置值>
	上次设置的密码:<从不>
	帐户过期:	<从不>
	主要组 ID:	513
	允许委托给:	-
	旧 UAC 值:	0x0
	新 UAC 值:	0x15
	用户帐户控制:	
		已禁用的帐户
		'不要求密码' - 已启用
		'普通帐户' - 已启用
	用户参数:	<未设置值>
	SID 历史:	-
	登录时间(以小时计):全部

附加信息:
	特权		-

 

 

 

已创建用户帐户。

使用者:
	安全 ID:		DESKTOP-CIBNM6P\bonel
	帐户名:		bonel
	帐户域:		DESKTOP-CIBNM6P
	登录 ID:		0x37DBF

新帐户:
	安全 ID:		DESKTOP-CIBNM6P\jack
	帐户名:		jack
	帐户域:		DESKTOP-CIBNM6P

属性:
	SAM 帐户名:	jack
	显示名称:	<未设置值>
	用户主体名称:	-
	主目录:		<未设置值>
	主驱动器:	<未设置值>
	脚本路径:	<未设置值>
	配置文件路径:	<未设置值>
	用户工作站:	<未设置值>
	上次设置的密码:<从不>
	帐户过期:	<从不>
	主要组 ID:	513
	允许委托给:	-
	旧 UAC 值:	0x0
	新 UAC 值:	0x15
	用户帐户控制:	
		已禁用的帐户
		'不要求密码' - 已启用
		'普通帐户' - 已启用
	用户参数:	<未设置值>
	SID 历史:	-
	登录时间(以小时计):全部

附加信息:
	特权		-