| 用途 | 进程级外联证据 |
|---|---|
| 字段 | Image / SourceIp / DestinationIp / DestinationPort |
按目的筛查
按目的筛查
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object { $_.Id -eq 3 -and $_.Message -match '203.0.113.' } | Select-Object -First 10 TimeCreated, Message与防火墙/代理日志双向核对，确认连接结果。