善用 netstat 指令 強化 Win7 系統安全 三大檢測實戰

一、檢查可疑帳號

net user 列出所有帳號 → net user 帳號名 檢視權限群組。
若 Administrators 群組除 Administrator 外有其他帳號，疑似被克隆帳號入侵。
刪除指令：net user 帳號名 /del。

二、停用不明服務

net start 列出運行中服務 → 發現非自行啟用服務 (如 IIS、不明名稱) → net stop 服務名 停用。
定期檢查可發現惡意軟體植入的後門服務。

三、監控網路連線

netstat -an 顯示所有連線：
— Local Address：本地 IP:Port
— Foreign Address：遠端 IP:Port
— Proto：TCP/UDP
— State：ESTABLISHED/LISTENING/TIME_WAIT 等
netstat -s -e 顯示詳細協定統計 (TCP/UDP/ICMP/IP)。
異常遠端 IP 連線、大量 TIME_WAIT、不明監聽埠，均為潛在入侵指標。

實戰建議

• 建立基準線：正常狀態下執行 netstat -an > baseline.txt 存檔。
• 懷疑異常時對比差異，快速鎖定可疑連線。
• 配合防火牆規則封鎖惡意 IP。

netstat 為內建網路偵測利器，無需安裝第三方工具即可實現基礎主機入侵檢測 (HIDS) 功能。