資安稽核常用 Windows 指令速查

內部稽核或資安健檢時，用幾行指令就能快速確認端點的安全狀態。以下是現場最常用的一組。

帳號與密碼原則

net accounts

顯示密碼最短長度、最長有效期、鎖定閾值等原則。Windows 10/11 家用版沒有群組原則編輯器，但 net accounts 一樣可用，也可以直接設定：

net accounts /minpwlen:12 /maxpwage:90 /lockoutthreshold:5

本機帳號盤點

net user
net localgroup administrators

確認是否有可疑帳號、離職人員帳號未停用、過多的本機管理員。

安全狀態總覽

# Defender 狀態（PowerShell）
Get-MpComputerStatus | Select AMRunningMode, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

# 防火牆狀態
netsh advfirewall show allprofiles state

# BitLocker 加密狀態
manage-bde -status

更新與修補

# 已安裝的更新
wmic qfe list brief /format:table

# PowerShell 版
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

日誌審查

# 最近的登入失敗事件（Event ID 4625）
wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:10 /rd:true /f:text

登入失敗、帳號鎖定（4740）、帳號建立（4720）是日誌審查的基本三件組。

稽核現場的使用建議

1. 指令輸出截圖或導出存檔，作為稽核證據。
2. 對照公司的密碼原則與端末設備管理規範逐項確認。
3. 發現偏差時記錄主機名稱、時間與偏差內容，回頭開不符合事項或觀察事項。