常用的 Windows 安全狀態查詢指令
進行 Windows 主機的安全檢查或稽核佐證蒐集時，以下指令可以快速查詢系統的安全狀態。指令分為四大類：系統與帳戶資訊、網路與防火牆設定、事件日誌與系統稽核、權限與安全設定。
1. 系統與帳戶資訊
檢查 Windows 版本與更新狀態
winver
systeminfo
wmic qfe list full /format:table列出所有使用者帳戶
net user檢查使用者群組與權限
net localgroup
net localgroup Administrators
net localgroup "Remote Desktop Users"檢查特定使用者的詳細資訊
net user <帳戶名稱>檢查最近登入的使用者
quser查看遠端登入紀錄
query user檢查帳戶鎖定原則
net accounts檢查密碼策略
net accounts /domain
secedit /export /cfg C:\temp\secpol.cfg && type C:\temp\secpol.cfg檢查 Active Directory 帳戶（PowerShell）
Get-ADUser -Filter * -Property Name,Enabled,LastLogonDate | Select-Object Name,Enabled,LastLogonDate2. 網路與防火牆設定
檢查目前的連線與監聽埠
netstat -ano
netstat -an | findstr LISTENING檢查網路組態
ipconfig /all檢查網路共享資源
net share檢查防火牆規則
netsh advfirewall firewall show rule name=all檢查遠端桌面（RDP）是否啟用
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections檢查 Telnet 服務狀態
sc query telnet檢查 Windows Defender 服務狀態
sc query windefend檢查 BitLocker 磁碟加密狀態
manage-bde -status3. 事件日誌與系統稽核
檢查失敗的登入嘗試（Event ID 4625）
wevtutil qe Security "/q:*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4625)]]" /c:10 /f:text /rd:true檢查成功的登入紀錄（Event ID 4624）
wevtutil qe Security "/q:*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4624)]]" /c:10 /f:text /rd:true列出已安裝的應用程式
wmic product get name,version列出系統開機時執行的程式
wmic startup get caption,command檢查開機時載入的驅動程式
driverquery檢查目前執行的程序
tasklist /v檢查是否有不明的管理員帳戶
net localgroup Administrators4. 權限與安全設定
檢查系統目錄的存取權限
icacls C:\Windows\System32
icacls "C:\Program Files"檢查系統時間同步狀態
w32tm /query /status檢查 LSA 保護（RunAsPPL）
reg query HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v RunAsPPL檢查 Credential Guard 設定（LsaCfgFlags）
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LsaCfgFlags結語
這些指令可以協助進行 Windows 主機的安全狀態檢查，也可作為 ISO 27001 稽核時蒐集技術佐證的參考。若需要更深入或大規模的檢查，建議改用 PowerShell 撰寫腳本進行自動化深度掃描。