# WINDOWS 防禦流程
## 變更預設權限、移除不必要之權限：
### 1. 檢查作業系統使用者權限 `Win+R` `lusrmgr.msc`
### 2. 檢查資料庫、IIS站台、AD DC等等其他角色權限。
### 3. 將遠端桌面連線限制僅自己IP可登入。
## 安裝NESSUS並執行全網段偵掃：

## 作業系統漏洞修補：
### 1. 檢查作業系統版本 `Win+R` `winver`
### 2. 針對不同作業系統版本，至此網站下載所屬版本之漏洞修補包。
已將Windows 10各版本及2012、2012R2永恆之藍之漏洞修補包放進外接式硬碟供使用。
https://www.catalog.update.microsoft.com
## 網路環境探索：(如這次環境僅使用Ipv4，則將Ipv6訊息忽略)
### 1. 檢查當前網路連線狀態 `PowerShell` `netstat -ano`
確認開啟的服務埠有哪些，判斷主辦方記分板之IP，將其餘的IP列名單並關閉非必要服務埠。
:::success
使用工具：LiveTcpUdpWatch
:::

==下列兩個檔案都需存在才能開啟!==

進階選項，篩選出僅80、443port的連線狀況。
#### Step1
#### Step2
#### Step3

盡可能的蒐集IP、Hostname、Service等等，所有訊息都不要遺漏，以利後續防火牆規則建立及其餘防禦手段。
### 2. 建立防火牆規則 `PowerShell` `WF`
根據蒐集情資將主辦方及必要服務以外之IP、Service封鎖，於輸入規則處添加規則。

### 3. 檢視本機處理程序
:::success
使用工具：ProcessHacker
:::

### 4. 監看事件檢視器 `Win+R` `eventvwr.msc`

| 事件ID | 說明 |
| ------ | -------------- |
| 4624 | 登入成功 |
| 4625 | 登入失敗 |
| 4672 | 系統管理者登入 |
| 4720 | 新建帳戶 |


## 安裝防毒、查殺軟體：
### 1. 防毒軟體：
:::success
使用工具：火絨安全
:::

### 2.查殺軟體：
:::success
使用工具：D盾防護
:::

==須以系統管理員身分執行!==

執行全機檔案掃描。
支援base64解密。
處理程序檢查，也有權限刪除可疑處理程序。
可檢查使用者帳號是否異動，如發現可疑帳號新增，可直接剃除異常帳號。
可檢查當前連線狀態，開啟的服務埠及連線IP，亦可僅篩選80port顯示。

###### 參考文獻：
https://bypass007.github.io/Emergency-Response-Notes/Summary/%E7%AC%AC1%E7%AF%87%EF%BC%9AWindow%E5%85%A5%E4%BE%B5%E6%8E%92%E6%9F%A5.html