Использование PowerShell для сбора информации об инциденте

[Naves]

Есть же AVZ для всего этого?

[AAT666]

Курсовая что ли? Или как там сейчас это называется?.. Не зная ТЗ, все же сделаю пару замечаний.

1. Вот это:

$ADS = get-item * -stream * | where stream –ne ':$Data'

соберет данные только в текущей директории. Вглубь не полезет. Я бы сделал рекурсию по профилю пользователя. Ибо прав у него там — море!

2. Этот скрипт совсем НЕ

для удаленного сбора данных с конечных устройств

Для того чтобы он таким стал — необходимо задействовать соответствующие ключи командлетов, а при не возможности — использовать Invoke-Command. Тогда

«специалисты по кибербезопасности»

при наличии соответствующих прав, смогут запускать скрипт со своего АРМа.

3. Сделал бы проверку файла C:\Windows\System32\drivers\etc\hosts — самое то, для такого детского задания. Помню, одно веселое время, когда знакомые (незамутненные ИТ-знаниями) через день с ужасом кричали в трубку, что не могут зайти в ВэКашечку )))

4. Я бы такое «не в жисть» не дал бы пихать на ПК своих пользователей. Но это уже мое чисто субъективное мнение (;

Ну, а в целом — я бы поставил 4ку или зачет… Или что там ставят?..
Удачи!