🛠️Kỹ năng thực chiến · SOC / Ứng cứu sự cố · Nâng cao✔ Biên soạn từ tài liệu chính thống
Kỹ năng thu thập chứng cứ ban đầu trên máy Windows (triage)
Thu thập dữ liệu dễ mất trước (tiến trình, kết nối, DNS cache), sau đó các điểm bám trụ và nhật ký sự kiện, kèm mã băm để bảo đảm tính toàn vẹn chứng cứ.
10
Bước thực hiện
4
Bước bắt buộc
7
Lệnh 1-click
2
Nguồn trích dẫn
~45
Phút thực hiện
Cập nhật 13/11/2026•15 lượt xem
Khi nào áp dụng: Máy trạm/máy chủ Windows nghi bị xâm nhập cần đánh giá nhanh trước khi cô lập hoặc dựng lại.
1Nguyên tắc
0/32Dữ liệu dễ mất
0/3Get-CimInstance Win32_Process | Select-Object ProcessId,ParentProcessId,Name,CommandLine | Export-Csv E:\IR\processes.csv -NoTypeInformationGet-NetTCPConnection | Export-Csv E:\IR\tcp.csv -NoTypeInformation; Get-DnsClientCache | Export-Csv E:\IR\dns.csv -NoTypeInformationquery user
3Bám trụ & nhật ký
0/4autorunsc64.exe -accepteula -a * -c -h -s > E:\IR\autoruns.csvGet-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Run, HKCU:\Software\Microsoft\Windows\CurrentVersion\Runwevtutil epl Security E:\IR\Security.evtx; wevtutil epl System E:\IR\System.evtxGet-FileHash E:\IR\* -Algorithm SHA256 | Export-Csv E:\IR\hashes.csv -NoTypeInformation
📚 Nguồn trích dẫn
- [1]NIST — SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response ↗
- [2]Microsoft Sysinternals — Autoruns for Windows ↗