| 加固项 | 自启动点基线化 |
|---|---|
| 适用平台 | Windows Server / Windows 10+ |
| 风险等级 | 中 |
| 检查点 | 启动项清单可解释；新增项有变更记录 |
盘点
盘点
Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location, User
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' -ErrorAction SilentlyContinue
Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' -ErrorAction SilentlyContinueWinlogon 与全局启动目录
Winlogon 与全局启动目录
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' | Select-Object Shell, Userinit
Get-ChildItem "$env:ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -ErrorAction SilentlyContinue更完整清单用 Sysinternals Autoruns（含计划任务、WMI 订阅、服务）：建立“已知良好”基线后定期比对。