Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-TaskScheduler%4Operational.evtx
JournalRisque : Prudence

Microsoft-Windows-TaskScheduler%4Operational.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx

TaskScheduler%4Operational.evtx : journal du Planificateur de tâches (démarrage, fin, création et erreurs des tâches). L'historique est à activer.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Microsoft-Windows-TaskScheduler/Operational raconte la vie des tâches planifiées : déclenchement, lancement des actions, fin d’exécution, erreurs, création et suppression. On l’ouvre pour comprendre pourquoi une tâche ne s’est pas exécutée ou a échoué, et pour repérer une tâche qu’un tiers a ajoutée.

Ce qu’il contient

  • 100 et 200 : démarrage d’une tâche et d’une action. 129 : création du processus de l’action.
  • 102 et 201 : fin de la tâche et de l’action. Le code retour est dans le message de l’événement 201.
  • 101 : échec de démarrage de la tâche.
  • 106, 140 et 141 : enregistrement, mise à jour et suppression d’une tâche.

Il est désactivé par défaut. Activez l’historique de toutes les tâches dans la console du Planificateur de tâches (« Activer l’historique de toutes les tâches ») ou avec wevtutil sl. Tant que ce n’est pas fait, ne comptez pas sur un contenu complet.

Risques et bonnes pratiques

  • Les événements de création (106) aident à détecter une persistance : ne videz pas le journal pendant un dépannage ou une investigation.
  • Sur les serveurs et les postes sensibles, activez l’historique et centralisez le journal. Pour la création de tâches, le journal Sécurité complète avec l’événement 4698, si l’audit est activé.
  • Noms de tâches et de comptes y apparaissent : manipulez les copies avec précaution.

Commandes utiles

Fenêtre de terminal
# État du journal (activé ou non, taille maximale)
wevtutil gl "Microsoft-Windows-TaskScheduler/Operational"


# Activer le journal (en administrateur)
wevtutil sl "Microsoft-Windows-TaskScheduler/Operational" /e:true


# Dernières créations de tâches (106) et échecs de démarrage (101)
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TaskScheduler/Operational'; Id=106,101} -MaxEvents 30 |
    Select-Object TimeCreated, Id, Message

Format

Fichier XML binaire (.evtx). Le « / » du nom du journal devient « %4 » dans le nom du fichier.

Rotation et archivage

Taille maximale et rétention se règlent dans les propriétés du journal ou par stratégie de groupe, comme pour tout journal .evtx. Les plus anciens événements sont écrasés à saturation, sauf archivage configuré. wevtutil epl exporte une copie.

Comment le lire

Observateur d’événements > Journaux des applications et des services > Microsoft > Windows > TaskScheduler > Opérationnel. Pour un fichier exporté, Get-WinEvent -Path sur le .evtx. Croisez le nom de la tâche avec les définitions de C:\Windows\System32\Tasks.

Signaler une erreur