| 加固项 | 证据固定 |
|---|---|
| 适用平台 | Windows |
| 风险等级 | 中 |
| 基线 | 关键日志可导出并校验完整性 |
导出与校验
导出与校验
New-Item -ItemType Directory -Force C:\evidence | Out-Null
wevtutil epl Security C:\evidence\Security.evtx
wevtutil epl System C:\evidence\System.evtx
Get-FileHash C:\evidence\Security.evtx -Algorithm SHA256
Get-WinEvent -Path C:\evidence\Security.evtx -MaxEvents 5导出前记录操作时间与操作人；不要在取证完成前清理源日志，也避免在源机上做过多写操作。