01 / INSTALL
安裝程式，保留你的選擇。
- 從下載頁取得 setup.exe，可先比對 SHA-256。
- 執行安裝包，選擇繁體中文或英文，檢查安裝位置。
- 視需要選擇桌面捷徑；安裝完成後由開始功能表開啟。
預設使用目前使用者的安裝位置，不會替你安裝 npm 套件、修改 PATH 或改變 Windows 安全原則。解除安裝可使用 Windows 的「已安裝的應用程式」。
02 / YOUR FIRST FLOW
先做一個唯讀查詢。
- 開啟積木建立器，選擇「高級」→「系統基線盤點」。
- 加入「作業系統支援與開機資訊」，先保留預設篩選。
- 加入「顯示」輸出積木；若使用第三種畫布，將輸出點連到輸入點。
- 設定指令名稱，建立指令後檢查參數，再執行查看結果。
03 / PARAMETERS
欄位不只一種，也不該盲填。
每個參數可能是文字、數值、下拉選項、路徑或多行內容。右側會顯示用途、格式、預設或範例及數值範圍；詳細內容可按「完整說明與參數格式」。
- 必填：執行前必須提供值；空白的預設值不代表可以省略。
- 選填：空白的意思依該欄位說明判讀，例如不套用該篩選。
- 路徑：分析既有檔案前確認位置；相對路徑取決於指令工作目錄。
- 變更操作：部分既有操作會修改檔案或系統狀態，先閱讀用途與確認欄位。
04 / REQUIREMENTS
資料能否讀取，取決於環境。
適用 Windows 10／11 的 64 位元環境，使用內建 Windows PowerShell 5.1 與本機模組。不同 Windows 版本、功能角色與管理原則可能缺少某些命令或事件通道；實際驗證環境為目前的 Windows 電腦。
Security、SMB、BitLocker 等資料可能需要適當讀取權限。程式不自動提升權限、啟用通道或關閉防護。若看到拒絕存取，請先確認該任務所需的授權與權限。
網路空間的瀏覽器操作需已安裝 Edge 或 Chrome，使用獨立的瀏覽器工作階段。Node、npm、Python 與 pip 不是啟動程式的必要條件；若指令需要呼叫它們，仍須有可用的本機安裝。
05 / FAQ
幾個常見問題。
為什麼事件查詢沒有結果？
可能是時段、條件、事件版本、未啟用的稽核原則或通道限制。NoMatch 只是查無符合資料，不是「沒有入侵」的結論。
1,202 項高級工具都是不同攻擊方法嗎？
不是。它們包含 1,082 個不同提供者／事件 ID 的調查查詢，以及 120 個唯讀診斷。用途是稽核、鑑識、診斷與授權測試。
為什麼有些欄位或原始事件說明是英文？
Windows 提供的事件欄位名稱及原始描述保留原文，方便對照真實證據；外圍分類、使用提示與操作教學使用繁體中文。
如何分析離線 EVTX？
在事件積木填寫既有 EVTX 的完整路徑；回溯時數仍以目前時間計算，分析舊證據時需調整。比對條件會在候選事件讀取上限內套用。
哪些操作會在網站上執行？
網站只提供文件、搜尋、下載與流程示意。它不連接你的程式或設備，不會在伺服器上執行任何系統積木。