這個指令做什麼?
事件調查:The following per profile settings were applied by Windows Defender Firewall。固定提供者 Microsoft-Windows-Windows Firewall With Advanced Security;事件 ID 2001。讀取事件證據,不代表偵測到入侵;需結合上下文判讀。 The following per profile settings were applied by Windows Defender Firewall Profile: %1 Operational Mode: %2 Stealth Mode: %3 Block all Incoming Connections: %4 Unicast response to multicast broadcast: %5 Log dropped packets: %6 Log successful connections: %7 Log ignored rules: %8 Inbound Notifications: %9 Allow Local Policy Merge: %12 Allow Local IPsec Policy Merge: %13 Default Outbound Action: %14 Default Inbound Action: %15 Remote Administration: %16 Stealth Mode IPsec Secured Packet Exemption: %21 Maximum Log file size: %17 Log File path: %18 Allow User preferred merge of Authorized Applications: %10 Allow User preferred merge of Globally open ports: %11
PARAMETERS
參數怎麼填?
回溯時數
必填以本次執行時間往前計算;離線 EVTX 也套用時間範圍。 範圍:1~8760。 預設/範例:24。 必填。
24最多回傳筆數
必填限制輸出筆數;不會變更資料來源。 範圍:1~5000。 預設/範例:100。 必填。
100最多讀取候選事件
必填先以提供者、事件 ID、時間查詢,再比對資料欄位;此上限可能截斷結果。 範圍:1~10000。 預設/範例:1000。 必填。
1000事件通道
必填此事件原始通道;不同 Windows 版本可手動調整。通道未啟用時不會自動啟用。 預設/範例:Microsoft-Windows-Windows Firewall With Advanced Security/FirewallVerbose。 必填。
Microsoft-Windows-Windows Firewall With Advanced Security/FirewallVerbose離線 EVTX 檔案路徑(選填)
選填填寫後讀取既有 EVTX,不讀取本機通道;空白表示本機。 可留空。
留空;必填時請於執行前設定資料欄位比對方式
必填套用到下方事件專屬欄位;所有非空條件須同時成立。 可選:包含、等於、正規表示式。 必填。
包含事件讀取順序
必填一般日誌可選順序;Analytic/Debug 日誌若要求由舊到新,會自動改採最舊優先。掃描上限會依此順序截斷。 可選:最新優先、最舊優先。 必填。
最新優先Profile(win:UInt32)
選填僅篩選此事件的 Profile;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定OpMode(win:UInt32)
選填僅篩選此事件的 OpMode;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定DisableStealthMode(win:UInt32)
選填僅篩選此事件的 DisableStealthMode;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定BlockAllInbound(win:UInt32)
選填僅篩選此事件的 BlockAllInbound;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定DisableUnicastResponseToMultiCastBroadCast(win:UInt32)
選填僅篩選此事件的 DisableUnicastResponseToMultiCastBroadCast;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定LogDroppedPackets(win:UInt32)
選填僅篩選此事件的 LogDroppedPackets;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。
留空;必填時請於執行前設定其他事件欄位條件 JSON(選填)
選填例如 {"ProcessId":"1234"}。支援此事件的其餘欄位;此物件只用於比對,不執行程式碼。 可留空。
留空;必填時請於執行前設定