异常行为观察
物理层迹象：留意摄像头/麦克风指示灯是否无故亮起，设备管理器中是否存在未授权的摄像头或麦克风设备。若电脑未主动操作却出现文件修改记录、频繁弹出权限请求或突然卡顿，可能是监控软件在运行。
网络流量异常：通过任务管理器的“性能”标签页打开资源监视器，切换到“网络”选项卡，查看是否有未知程序持续上传数据（如无操作时仍有大量流量）。
进程与服务排查
任务管理器分析：按下 Ctrl+Shift+Esc 打开任务管理器，在“详细信息”选项卡中右键添加“命令行”和“发布者”列。重点排查路径异常（如非系统目录下的 .exe 文件）、无数字签名或名称可疑的进程（如 svchost.exe 伪装进程）。
网络流量分析
抓包工具使用：使用 Wireshark 等专业工具分析网络流量，通过过滤器（如 ip.addr == 119.75.217.26）定位可疑IP通信。注意企业环境中使用此类工具可能违反政策。命令行检查：在命令提示符中输入
netstat -ano | findstr \"ESTABLISHED\"
，查看处于连接状态的IP和端口，结合tasklist /svc关联进程，判断是否为合法服务。
物理层迹象：留意摄像头/麦克风指示灯是否无故亮起，设备管理器中是否存在未授权的摄像头或麦克风设备。若电脑未主动操作却出现文件修改记录、频繁弹出权限请求或突然卡顿，可能是监控软件在运行。
网络流量异常：通过任务管理器的“性能”标签页打开资源监视器，切换到“网络”选项卡，查看是否有未知程序持续上传数据（如无操作时仍有大量流量）。
进程与服务排查
任务管理器分析：按下 Ctrl+Shift+Esc 打开任务管理器，在“详细信息”选项卡中右键添加“命令行”和“发布者”列。重点排查路径异常（如非系统目录下的 .exe 文件）、无数字签名或名称可疑的进程（如 svchost.exe 伪装进程）。
网络流量分析
抓包工具使用：使用 Wireshark 等专业工具分析网络流量，通过过滤器（如 ip.addr == 119.75.217.26）定位可疑IP通信。注意企业环境中使用此类工具可能违反政策。命令行检查：在命令提示符中输入
netstat -ano | findstr \"ESTABLISHED\"
，查看处于连接状态的IP和端口，结合tasklist /svc关联进程，判断是否为合法服务。
