快速識別異常進程的基線知識

熟悉正常進程是發現木馬/異常程序的前提。本文將 Win2k 進程分為三類，建議管理員熟記核心進程，定期巡檢任務管理器。

第一類：最核心系統進程（缺一不可，系統方能運行）

進程名	描述	關鍵點
smss.exe	會話管理器	最早用戶態進程，負責創建會話、啟動 csrss/winlogon
csrss.exe	客戶/服務器運行時子系統進程	用戶模式子系統核心，管理控制台窗口、線程
winlogon.exe	用戶登錄管理	處理 Ctrl+Alt+Del、載入用戶配置文件、啟動 explorer
services.exe	服務控制管理器 (SCM)	啟動/停止/管理所有系統服務，父進程為 wininit
lsass.exe	本地安全認證子系統	管理安全策略、生成訪問令牌、處理登錄認證、EFS 密鑰
svchost.exe	服務宿主進程（多實例）	加載 DLL 形式服務（如 Wuauserv、EventSystem、Spooler），命令 tasklist /svc 查看具體服務
explorer.exe	資源管理器（Shell）	桌面、任務欄、文件瀏覽，用戶登錄後由 winlogon 啟動
internat.exe	輸入法指示器	托盤區拼音圖標，非核心可禁用

第二類：附加系統進程（按需啟用，可通過服務管理器控制）

進程	服務名	功能	建議
mstask.exe	Task Scheduler	計劃任務	需定時任務則啟用
regsvc.exe	Remote Registry	遠程註冊表操作	建議禁用，高危
winmgmt.exe	WMI	系統管理信息	管理腳本/監控需啟用
inetinfo.exe	IIS Admin / WWW / FTP	Web/FTP 服務	非Web服務器禁用
tlntsvr.exe	Telnet	遠程終端	建議禁用，明文傳輸
tftpd.exe	TFTP	簡易文件傳輸	無網絡啟動需求禁用
termsrv.exe	Terminal Services	遠程桌面	需遠程管理啟用
dns.exe	DNS Server	域名解析	非DNS服務器禁用

第三類：罕用/高危服務進程（建議默認禁用，臨時啟用）

tcpsvcs.exe (simptcp)、ismserv.exe、ups.exe、wins.exe、llssrv.exe、ntfrs.exe、RsSub.exe、locator.exe、lserver.exe、dfssvc.exe、clipsrv.exe、msdtc.exe、faxsvc.exe、cisvc.exe、dmadmin.exe、mnmsrvc.exe、netdde.exe、smlogsvc.exe、rsvp.exe、RsEng.exe、RsFsa.exe、grovel.exe、SCardSvr.exe、snmp.exe、snmptrap.exe、UtilMan.exe、msiexec.exe (安裝時臨時)。

這些服務多為特定企業功能（分布式事務、遠程存儲、單實例存儲、智能卡、SNMP、輔助工具等），普通工作站/成員服務器**極少用到**，保持啟動僅增加攻擊面與資源佔用。

發現可疑進程的「熟人法則」

多看任務管理器進程列表。就像在熟人群中找陌生人，建立「正常基線」後，任何不認識的進程名、異常路徑（非 System32/Program Files）、無簽名、高 CPU/網絡佔用，都是調查線索。配合 tasklist /m、netstat -ano、Process Explorer（微軟官方增強版任務管理器）進行深度分析。