Sysmon Event ID 4688 mencatat setiap kali proses baru dibuat di sistem. Event ini sangat berguna untuk mendeteksi aktivitas mencurigakan atau malware yang mencoba menjalankan proses ilegal. Analisis event ID 4688 melibatkan pemeriksaan process ID, parent process, command line, dan pengguna yang menjalankan proses tersebut.