Event ID 4104：Scriptblock logging（Microsoft-Windows-PowerShell/Operational）
这个 Event ID 实际在磁盘上记录的内容、优先查看的 EventData 字段，以及它在 DFIR 分诊流程中的位置。
- 通道
- Microsoft-Windows-PowerShell/Operational
- 提供程序
- Microsoft-Windows-PowerShell%4Operational
- 分诊备注
- Captures the script body after decoding and reflection — the highest-value PowerShell record on the system.