да, неплохо. а отключенные задачи попадают в образ? или только активные? 4698(S): A scheduled task was created. 4699(S): A scheduled task was deleted. 4700(S): A scheduled task was enabled. 4701(S): A scheduled task was disabled.

это излишние навороты и так уже навернуто столько, что все это хозяйство замечательно тормозит

Всё таки хорошо бы при работе с сигнатурой добавлять некое условие\ограничение. ( т.е. Оператор в праве решать - сохранить сигнатуру стандартно, или добавить условие\ограничение из Инфо. файла )      

проще аудит включить https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-other-object-access-events

в след раз попробуем снять образ до запуска рабочего стола, может на этот момент еще задача будет живой.