善用 netstat 指令讓 Win7 更安全：連線監控、服務稽核、帳號檢查、惡意連線阻斷

前言

netstat 是 TCP/IP 網路監控瑞士刀，可顯示路由表、作用中連線、介面卡統計。結合 net 指令管理服務與帳號，構建主機層面安全稽核基礎能力。本文實戰四大應用場景。

一、netstat 核心參數速查

場景一：發現不明外連 → 定位進程 → 終止/調查

1. netstat -ano | findstr "ESTABLISHED" 列出所有已建立連線
2. 觀察 外部 IP、非標準埠、大量連線 異常
3. 記錄 PID → 工作管理員「詳細資料」/ tasklist | findstr "PID" 定位進程名稱/路徑
4. 可疑進程：上傳 VirusTotal、sigcheck -v 驗證簽名、Process Explorer 檢查字串/模組
5. 確認惡意 → taskkill /pid PID /f 終止 → 完整掃描/重灌

場景二：稽核啟動服務 → 禁用不明服務

1. net start 列出已啟動服務
2. 對照標準服務清單 (可匯出乾淨系統基準)
3. 發現異常服務 (如非預期的 IIS、資料庫、遠端管理) → net stop "服務名稱" 停止
4. sc config "服務名稱" start= disabled 禁用開機自動啟動
5. 檢查服務對應執行檔路徑與簽名

場景三：帳號稽核 → 偵測複製帳號/權限提升

1. net user 列出所有本機帳號
2. net user "帳號名" 查看詳細資訊：群組隸屬、帳號啟用狀態、密碼最後設定、密碼到期
3. 重點檢查：內建帳號 (Guest, DefaultAccount, WDAGUtilityAccount 等) 是否屬於 Administrators 群組
4. 正常僅 Administrator 屬 Administrators，其他內建帳號不應有管理權限
5. 發現異常 → net localgroup administrators "帳號" /delete 移除權限 → net user "帳號" /active:no 停用 → net user "帳號" /delete 刪除 (謹慎)

場景四：持續監控與自動化

// 批次檔每分鐘記錄連線快照
:loop
netstat -ano >> %date:~-4,4%%date:~-7,2%%date:~-10,2%_netstat.log
timeout /t 60
goto loop

配合 LogParser / PowerShell 分析異常模式 (新 IP、新埠、新 PID、連線數暴增)。

結語

netstat -abno + net start/user 構成主機安全稽核鐵三角：連線可視化、服務可稽核、帳號可審計。建議納入週例行檢查清單，異常即刻響應。進階可部署 Sysmon + Windows Event Forwarding + SIEM 實現企業級監控。