คู่มืออ้างอิงฉบับย่อของ Windows Live Response (QRG)

เมื่อสงสัยว่าระบบ Windows จะถูกบุกรุก โปรดอ้างอิง QRG นี้เพื่อใช้การรวบรวมข้อมูลสด

บทนำ:ดำเนินการตามขั้นตอนใน QRG นี้ทันทีเมื่อสงสัยว่ามีการบุกรุกระบบ QRG นี้จะนำคุณผ่านขั้นตอนการรวบรวมข้อมูลสด นอกเหนือจากขั้นตอนด้านล่าง ให้จำกัดการใช้งานบนระบบที่ถูกบุกรุก เนื่องจากการดำเนินการนี้จะแก้ไขข้อมูล

ข้อกำหนดเบื้องต้น: QRG นี้ได้รับการออกแบบให้ดำเนินการบนเครื่อง Windows ใดๆ ที่มี CMD.exe โดยไม่มีสิทธิ์ระดับผู้ดูแล จำเป็นต้องมีไดรฟ์ภายนอกเปล่าที่มีขนาดอย่างน้อย 64 กิกะไบต์หรือสูงกว่าพร้อมสำหรับกรณีการตอบสนองต่อเหตุการณ์

• ที่เวิร์กสเตชันที่ถูกบุกรุก ให้ใช้โน้ตบุ๊กเพื่อบันทึกวันที่และเวลาปัจจุบันของคุณ ชื่อผู้ใช้ของเวิร์กสเตชัน และชื่อ/หมายเลขคอมพิวเตอร์ที่สังเกตได้บนเวิร์กสเตชัน
• ใส่ไดรฟ์ภายนอกที่พร้อมใช้งานลงในเวิร์กสเตชันที่ถูกบุกรุกและระบุอักษรระบุไดรฟ์ที่กำหนดโดยไปที่ “My Computer” หรือ “This PC” ขึ้นอยู่กับรุ่นของ Windows ของคุณ
• เปิดเมนู Start ค้นหา Command Prompt (CMD) และเปิดใช้งาน

1. ใน CMD ดึง {System Date}, {Time} และ {Time Zone} และส่งออกไปยังไดรฟ์ภายนอกของคุณ (โดยที่ "E" เท่ากับอักษรชื่อไดรฟ์ของคุณในโค้ด): ประเภท : > echo %date% %
   time % > E:\date_time.txt
   ตามด้วย: > echo & tzutil /g >> E:date_time.txt
2. ดึงข้อมูล {System Information}: > systeminfo > E:system_info.txt
3. ดึงข้อมูล {Running Processes} และ {Services}:
   > tasklist /v > E:running_processes_service.txt
4. ดึงข้อมูล {Active TCP Connections} และ {TCP และ UDP Ports ที่คอมพิวเตอร์กำลังฟังอยู่}:
   > netstat -a > E:tcp_connections_open_ports.txt
5. ดึงข้อมูล {ตารางเส้นทาง}: > พิมพ์เส้นทาง | เพิ่มเติม > E:routing_table.txt
6. ดึงข้อมูล {ARP Cache}: > arp -a > E:arp_cache.txt
7. ดึง {Net Bios Over TCP/IP} (แคช & ชื่อท้องถิ่น): > nbtstat -cn > E:netbios.txt
8. ดึงข้อมูล {DNS Cache}: > ipconfig /displaydns > E:dns_cache.txt
9. ดึงข้อมูล {Logon Sessions} (ในขณะที่ระบบเปิดอยู่): > wmic logon > E:logon_sessions.txt
10. ดึงข้อมูล {ที่อยู่อินเทอร์เฟซ IP}: > ipconfig /all > E:interface_ip_addresses.txt
11. ดึงข้อมูล {Installed Drivers}: > driverquery > E:installed_drivers.txt
12. ดึงข้อมูล {Scheduled Tasks}: > schtasks > E:scheduled_tasks.txt
13. ปิด CMD และนำไดรฟ์แบบถอดได้ออก