Краткое справочное руководство по Windows Live Response (QRG)

Если вы подозреваете, что система Windows скомпрометирована, обратитесь к этому QRG, чтобы реализовать сбор данных в реальном времени.

Введение. Выполните шаги, описанные в этой QRG, сразу после подозрения на компрометацию системы. Эта QRG проведет вас через этапы сбора данных в реальном времени. Помимо шагов, описанных ниже, ограничьте использование скомпрометированной системы, так как это изменит ее данные.

Предварительные требования: Эта QRG предназначена для выполнения на любой машине Windows с CMD.exe без прав администратора. Необходимо иметь пустой внешний диск емкостью не менее 64 гигабайт или выше, готовый для случаев реагирования на инциденты.

• На скомпрометированной рабочей станции используйте записную книжку, чтобы записать текущую дату и время, имя пользователя рабочей станции и любое наблюдаемое имя/номер компьютера на рабочей станции.
• Вставьте готовый к использованию внешний диск в скомпрометированную рабочую станцию ​​и определите присвоенную ему букву диска, перейдя в «Мой компьютер» или «Этот компьютер», в зависимости от вашей версии Windows.
• Откройте меню «Пуск», найдите командную строку (CMD) и запустите ее.

1. В CMD извлеките {System Date}, {Time} и {Time Zone} и экспортируйте их на внешний диск (где «E» соответствует букве вашего диска в коде): Введите: > echo %date% %
   time % > E:\date_time.txt
   Далее следует: > echo & tzutil /g >> E:date_time.txt
2. Получить {системную информацию}: > systeminfo > E:system_info.txt
3. Получить {Запущенные процессы} и {Службы}:
   > список задач /v > E:running_processes_service.txt
4. Получить все {Активные TCP-соединения} и {TCP- и UDP-порты, которые прослушивает компьютер}:
   > netstat -a > E:tcp_connections_open_ports.txt
5. Получить {Таблицу маршрутизации}: > route print | больше > E:routing_table.txt
6. Получить {ARP-кэш}: > arp -a > E:arp_cache.txt
7. Получить {Net Bios через TCP/IP} (кэш и локальные имена): > nbtstat -cn > E:netbios.txt
8. Получить {кэш DNS}: > ipconfig /displaydns > E:dns_cache.txt
9. Получить {Сеансы входа в систему} (когда система была включена): > вход в систему wmic > E:logon_sessions.txt
10. Получить {IP-адреса интерфейсов}: > ipconfig /all > E:interface_ip_addresses.txt
11. Получить {установленные драйверы}: > driverquery > E:installed_drivers.txt
12. Получить {Запланированные задачи}: > schtasks > E:scheduled_tasks.txt
13. Закройте CMD и извлеките съемный диск.