网路恶意活动检视

1. 封包监听与分析

针对有线网路适当的位置架设封包侧录设备，观察内部电脑或设备是否有对外之异常连线或DNS 查询，
并比对是否连线已知恶意IP、中转站或有符合恶意网路行为的特徵。
发现异常连线之电脑或设备应确认使用状况与用途。
封包侧录至少以 6小时为原则，以观察是否有异常连线。

2. 网路设备记录档分析

检视网路设备纪录档并分析内部电脑或设备是否有对外之异常连线纪录
发现异常连线之电脑或设备后确认其使用状况与用途
基本上以1个月或 100M byte内的纪录为原则

1. 作业系统使用者电脑组态

1. 伺服器主机恶意程序或档案

网域控制(AD)伺服器群组原则