| 加固项 | 端点审计增强 |
|---|---|
| 适用平台 | Windows |
| 风险等级 | 中 |
| 基线 | 关键事件源可用 |
服务与事件核查
服务与事件核查
Get-Service Sysmon | Select-Object Status,StartType
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 5
# 关键事件：1=进程创建 3=网络连接 7=镜像加载 11=文件创建
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational';Id=1} -MaxEvents 10 | Select-Object TimeCreated,@{n='Image';e={$_.Properties[4].Value}}配好过滤规则再上生产：Sysmon 全量记录事件量惊人，先定义要抓什么再部署。