วิธีสังเกตว่ามีใครใช้คอมพิวเตอร์ของคุณหรือไม่ และพวกเขาทำอะไรไปบ้าง

แค่คิดก็ขนลุกแล้ว: มีคนเปิดคอมพิวเตอร์ของคุณและเข้าถึงข้อมูลของคุณโดยไม่ได้รับอนุญาตไม่ว่าจะเป็นเพื่อนร่วมงานที่ชอบสอดรู้สอดเห็น คนจากทางบ้าน หรือแม้แต่ผู้บุกรุกจากระยะไกล ความรู้สึกว่าสูญเสียความเป็นส่วนตัวไปนั้นย่อมไม่ใช่เรื่องน่าพึงพอใจเลย

ข่าวดีก็คือ ระบบปฏิบัติการ Windows และระบบปฏิบัติการอื่นๆ ทิ้งร่องรอยไว้มากกว่าที่คิดไว้มาก หากคุณรู้ว่าจะดูที่ไหน คุณก็จะสามารถตรวจสอบได้ว่ามีใครใช้พีซีของคุณหรือไม่ ใช้เมื่อไหร่ และพวกเขาแตะต้องอะไรบ้างตั้งแต่โปรแกรมดูบันทึกเหตุการณ์ (Event Viewer) ไปจนถึงไฟล์ล่าสุด ประวัติการเข้าชมเว็บไซต์ หรือเครื่องมือเฉพาะต่างๆ มีเบาะแสมากมายที่คุณสามารถใช้เพื่อคลายข้อสงสัยและในขณะเดียวกันก็เสริมสร้างความปลอดภัยของคุณได้

วิธีพื้นฐานในการตรวจสอบว่ามีใครใช้คอมพิวเตอร์ของคุณหรือไม่

ก่อนที่จะศึกษาเครื่องมือขั้นสูง ควรทบทวนสัญญาณพื้นฐานก่อน บ่อยครั้ง การพิจารณารายละเอียดเล็กๆ น้อยๆ ภายในระบบเองก็เพียงพอแล้ว สงสัยว่ามีคนมายุ่งเกี่ยวกับอุปกรณ์ของคุณ

เบาะแสแรกมักจะเป็น การเปลี่ยนแปลงที่คุณจำไม่ได้ว่าเคยทำสิ่งเหล่านี้ได้แก่ การย้ายตำแหน่งของทางลัด โปรแกรมที่เปิดโดยอัตโนมัติเมื่อเริ่มต้นระบบ วอลเปเปอร์ที่แตกต่างออกไป หรือแอปพลิเคชันที่ยังเปิดอยู่หลังจากที่คุณปิดไปแล้ว รายละเอียดเหล่านี้อาจดูพื้นฐานมาก แต่หากสอดคล้องกับเบาะแสอื่นๆ ก็ยิ่งเพิ่มความน่าสงสัยเข้าไปอีก

การพิจารณาดูสิ่งนี้ก็มีประโยชน์เช่นกัน เอกสาร โฟลเดอร์ และไฟล์ล่าสุดระบบปฏิบัติการ Windows จะเก็บรายการต่างๆ ของไฟล์หรือเอกสารที่เพิ่งเปิด แก้ไข หรือสร้างขึ้นล่าสุด ทั้งในระดับระบบและสำหรับโปรแกรมเฉพาะ (เช่น Office) คุณสามารถตรวจสอบได้ว่ามีใครทำงานกับไฟล์หรือเอกสารใดที่คุณไม่ได้แตะต้องบ้าง

สุดท้ายนี้ โปรดให้ความสนใจกับสิ่งต่อไปนี้ พฤติกรรมทั่วไปของพีซี: หากเครื่องทำงานช้าลง แสดงว่าเครื่องร้อนเกินไปโดยไม่มีเหตุผลที่สมควร หรือพัดลมจะทำงานแม้ว่าคุณจะเปิดหน้าต่างเพียงสี่บานก็ตาม บางครั้งก็เป็นเช่นนั้น อาการของมัลแวร์หรือโปรแกรมสอดแนมที่ทำงานอยู่เบื้องหลังติดตั้งโดยบุคคลที่สามารถเข้าถึงคอมพิวเตอร์ของคุณได้ทั้งทางกายภาพหรือจากระยะไกล

การใช้โปรแกรมป้องกันไวรัสและมัลแวร์เพื่อตรวจจับผู้บุกรุก

หนึ่งในด่านแรกของการป้องกันการบุกรุกคือโปรแกรมป้องกันไวรัสที่ดี การเข้าถึงโดยไม่ได้รับอนุญาตจำนวนมากเกิดขึ้นจากมัลแวร์ประเภทโทรจัน เวิร์ม หรือเครื่องมือควบคุมระยะไกล ซึ่งเล็ดลอดเข้ามาผ่านไฟล์แนบ การดาวน์โหลด หรือเว็บไซต์ที่ถูกบุกรุก

ใน Windows 10 และ Windows 11 คุณมี Microsoft Defender (เดิมคือ Windows Defender) ถูกรวมเข้ากับระบบแล้วซึ่งโดยปกติแล้วก็เพียงพอสำหรับการใช้งานทั่วไป สิ่งสำคัญคือต้องตรวจสอบให้แน่ใจว่ามันทำงานอยู่และตั้งค่าอย่างถูกต้อง และหากต้องการ ก็สามารถเพิ่มโปรแกรมป้องกันมัลแวร์เพิ่มเติมได้

หากต้องการตรวจสอบโปรแกรม Defender ใน Windows คุณสามารถทำได้ดังนี้: เปิดการตั้งค่า Windows ไปที่ "การอัปเดตและความปลอดภัย" จากนั้นไปที่ "ความปลอดภัยของ Windows"ภายในคุณจะเห็นหัวข้อต่างๆ เช่น "การป้องกันไวรัสและภัยคุกคาม" "การปกป้องบัญชี" "ไฟร์วอลล์และการป้องกันเครือข่าย" "การควบคุมแอปและเบราว์เซอร์" และ "ความปลอดภัยของอุปกรณ์" โดยหลักการแล้ว คุณควร... ทุกส่วนแสดงเป็นสีเขียวและไม่มีการดำเนินการใดๆ ที่รออยู่.

หากคุณต้องการก้าวไปอีกขั้น คุณสามารถติดตั้งเครื่องมือเฉพาะต่างๆ เช่น โปรแกรม Malwarebytes หรือโปรแกรมตรวจจับมัลแวร์อื่นๆโปรแกรมเหล่านี้มีประสิทธิภาพสูงในการตรวจจับโทรจัน โปรแกรมดักจับการกดแป้นพิมพ์ และโปรแกรมเข้าถึงระยะไกลที่เปิด "ช่องโหว่" ระหว่างพีซีของคุณกับผู้โจมตี พวกมันจะวิเคราะห์ระบบ ตรวจจับกระบวนการที่น่าสงสัย และในหลายกรณี สามารถปิดใช้งานและกำจัดมัลแวร์ได้

นอกจากนี้ยังมี ยูทิลิตี้ตรวจสอบเครือข่าย เครื่องมือเหล่านี้ช่วยให้คุณมองเห็นการเชื่อมต่อที่ผิดปกติได้ มันสามารถเปิดเผยได้ว่า สิ่งที่ถูกบุกรุกนั้นไม่ใช่แค่ตัวพีซีเอง แต่เป็นเครือข่ายต่างหาก เช่น การสื่อสารขาออกไปยังเซิร์ฟเวอร์แปลก ๆ การรับส่งข้อมูลอย่างต่อเนื่องในขณะที่คุณไม่ได้ใช้งานคอมพิวเตอร์ และอื่น ๆ นี่เป็นอีกวิธีหนึ่งในการตรวจจับผู้สอดแนมที่อาจกำลังควบคุมคอมพิวเตอร์ของคุณจากระยะไกล

โปรแกรม Event Viewer: เครื่องมือที่มีประสิทธิภาพที่สุดในการตรวจสอบว่าพีซีของคุณเปิดอยู่หรือไม่

ถ้าจะมีเครื่องมือสำคัญใน Windows สักอย่างที่จะบอกได้ว่ามีใครใช้คอมพิวเตอร์ของคุณหรือไม่ ก็คือ... โปรแกรมดูเหตุการณ์มันก็เหมือนสมุดบันทึกของระบบนั่นแหละครับ มันบันทึกการเข้าสู่ระบบ การเริ่มต้นระบบ การปิดระบบ ข้อผิดพลาด การติดตั้งโปรแกรม และอื่นๆ อีกมากมาย

คุณสามารถเปิดได้หลายวิธี วิธีที่เร็วที่สุดวิธีหนึ่งคือ กดปุ่ม Windows พิมพ์ “Event Viewer” แล้วเปิดด้วยสิทธิ์ผู้ดูแลระบบอีกทางเลือกหนึ่งคือใช้ปุ่ม Windows + R แล้วพิมพ์ eventvwr.msc แล้วกด Enter ไม่ว่ากรณีใด คุณจะมาถึงหน้าต่างที่มีแผงด้านข้างแสดงหมวดหมู่ และแผงตรงกลางแสดงรายการกิจกรรม

วิธีที่สะดวกที่สุดในการตรวจสอบว่าคอมพิวเตอร์เปิดและปิดเมื่อใด คือ การไปที่... “บันทึกเหตุการณ์ของ Windows > ระบบ”ที่นั่นคุณสามารถกรองตามรหัสเหตุการณ์เฉพาะที่บ่งชี้ถึงการเปลี่ยนแปลงสถานะของคอมพิวเตอร์ได้ ตัวอย่างเช่น บทความบางบทความกล่าวถึงรหัส 1, 12, 13 และ 42 เพื่อตรวจสอบว่าพีซีตื่นจากโหมดพักเครื่อง เริ่มทำงาน ปิดเครื่อง หรือเข้าสู่โหมดพักเครื่อง/จำศีลหรือไม่

เหตุการณ์อีกชุดหนึ่งที่ใช้กันอย่างแพร่หลาย ได้แก่ 6005 และ 6006รหัส 6005 หมายถึงการเริ่มต้นบริการบันทึกเหตุการณ์ (ซึ่งโดยปกติจะเกิดขึ้นพร้อมกับการเริ่มต้นระบบ) และรหัส 6006 บ่งชี้ถึงการปิดระบบอย่างเป็นระเบียบ หากคุณกรองตามรหัสเหล่านั้นและตรวจสอบดู วันที่และเวลาคุณจะเห็นได้อย่างชัดเจนว่าเครื่องถูกใช้งานเมื่อใด.

สามารถเปิดใช้งานตัวกรองได้จากแผงด้านขวา ในส่วน “การดำเนินการ” โดยเลือกตัวเลือกดังกล่าว “กรองข้อมูลบันทึกปัจจุบัน…” และเขียนหมายเลขที่คุณต้องการคั่นลงในช่อง “รหัสเหตุการณ์ทั้งหมด” ตัวอย่างเช่น 6005, 6006 o 1, 12, 13, 42คั่นด้วยเครื่องหมายจุลภาค จากนั้นคุณก็จะได้รายการที่เรียบร้อยกว่ามาก ซึ่งช่วยให้คุณเปรียบเทียบกับตารางเวลาของคุณได้: ถ้าคุณเห็นเวลาเริ่มต้นที่ 3 นาฬิกา ในขณะที่คุณกำลังนอนหลับ... คุณก็มีข้อมูลที่จะใช้ได้แล้ว

โปรแกรม Event Viewer ยังช่วยให้สามารถควบคุมได้อย่างละเอียดมากขึ้นอีกด้วย เหตุการณ์ต่างๆ เช่น รหัส 4624 และ 4647 (การเข้าสู่ระบบและการออกจากระบบ), 4768 และ 4771 (ที่เกี่ยวข้องกับการตรวจสอบสิทธิ์ Kerberos) ฟังก์ชันนี้ช่วยให้คุณสามารถตรวจสอบช่วงเวลาการใช้งาน ดูว่าบัญชีใดบ้างที่เข้าสู่ระบบ และมีการพยายามเข้าสู่ระบบด้วยข้อมูลประจำตัวที่ถูกต้องหรือไม่ถูกต้องหรือไม่ ฟังก์ชันนี้ต้องใช้ทักษะเพิ่มขึ้นเล็กน้อย แต่ข้อมูลที่ได้นั้นมหาศาล

วิธีตั้งค่าการตรวจสอบการเข้าสู่ระบบใน Windows

หากคุณต้องการติดตามการเข้าสู่ระบบทุกครั้ง ไม่ว่าจะเป็นการเข้าสู่ระบบสำเร็จหรือล้มเหลว วิธีที่ดีที่สุดคือ... เปิดใช้งานการตรวจสอบการเข้าสู่ระบบจากนโยบายความปลอดภัยภายในเครื่องวิธีนี้จะช่วยให้มั่นใจได้ว่าทุกครั้งที่มีการพยายามกระทำการใดๆ จะมีการบันทึกเหตุการณ์ที่เกี่ยวข้องไว้ในบันทึกความปลอดภัย

ในระบบปฏิบัติการ Windows รุ่นที่รองรับ คุณสามารถทำได้โดยการกดปุ่ม กดปุ่ม Win + R พิมพ์ secpol.msc แล้วกด Enter เพื่อเปิดเผยนโยบายความปลอดภัยในท้องถิ่น จากนั้น ไปที่ “การตั้งค่าความปลอดภัย > นโยบายภายใน > นโยบายการตรวจสอบ” และมองหาทางเข้า “ตรวจสอบเหตุการณ์การเข้าสู่ระบบ”.

ภายในตัวเลือกนั้น คุณสามารถ ทำเครื่องหมายในช่อง “สำเร็จ” และ “ข้อผิดพลาด” เพื่อให้ระบบบันทึกทั้งการเข้าสู่ระบบที่สำเร็จและล้มเหลว จากนั้นจึงทำการเปลี่ยนแปลงและบังคับอัปเดตนโยบายด้วยคำสั่งดังกล่าว gpupdate /force ในคอนโซลที่มีสิทธิ์ผู้ดูแลระบบ คุณสามารถเตรียมทุกอย่างให้พร้อมได้

นับจากนั้นเป็นต้นมา เหตุการณ์ต่างๆ เช่น 4624 (เข้าสู่ระบบสำเร็จ), 4625 (ล้มเหลว), 4648 (ใช้ข้อมูลประจำตัวที่ระบุไว้ชัดเจน) คำสั่ง 4675 และ 4779 จะถูกบันทึกไว้ในบันทึกความปลอดภัย เมื่อฝึกฝนสักเล็กน้อย คุณจะสามารถดูได้ว่าผู้ใช้รายใดพยายามเข้าสู่ระบบ จากคอมพิวเตอร์หรือที่อยู่ใด และพวกเขากำลังลองรหัสผ่านแบบสุ่มหรือไม่

เอกสารอย่างเป็นทางการของ Microsoft มีรายการรหัสประจำตัวทั้งหมดที่เกี่ยวข้องกับความปลอดภัยและการตรวจสอบสิทธิ์ หากคุณสงสัยว่าผู้บุกรุกมีทักษะขั้นสูงกว่าปกติ ควรตรวจสอบบันทึกเหล่านั้นอย่างละเอียดถี่ถ้วนเพราะเป็นการยากที่จะลบหลักฐานทั้งหมดในด่านนี้ออกไปโดยไม่ทิ้งร่องรอยใดๆ ไว้เลย

ตรวจสอบเอกสาร ไฟล์ และสิ่งของล่าสุด

อีกวิธีหนึ่งที่ได้ผลดีในการตรวจจับการบุกรุกทางกายภาพคือการดูว่ามีสิ่งใดถูกเปิดหรือแก้ไขเมื่อเร็ว ๆ นี้บ้าง ระบบปฏิบัติการ Windows จะเก็บรายการไฟล์ที่ใช้งานล่าสุดไว้หลายรายการ และแอปพลิเคชันหลายตัวจะบันทึกประวัติไฟล์ของตนเองไว้ด้วย.

ในกรณีของเอกสาร Office (Word, Excel, PowerPoint) คุณสามารถใช้ ประวัติเวอร์ชัน หากต้องการตรวจสอบว่ามีใครแก้ไขไฟล์หรือไม่ ให้เปิดเอกสารดังกล่าว แล้วไปที่... ไปที่ “ไฟล์ > ข้อมูล” แล้วมองหาตัวเลือก “ประวัติเวอร์ชัน”. ที่นั่น คุณจะเห็นเวอร์ชันก่อนหน้าพร้อมวันที่และเวลา และคุณสามารถตรวจสอบการเปลี่ยนแปลงได้ แม้ว่าคุณจะไม่รู้แน่ชัดว่าใครเป็นคนทำก็ตาม

ในระดับระบบ Windows อนุญาตให้คุณเปิดใช้งานได้ รายชื่อไฟล์ที่เปิดล่าสุด เพื่อให้ไฟล์เหล่านั้นปรากฏในเมนู Start, แถบงาน และการเข้าถึงด่วนของ File Explorer ในการตั้งค่า > การปรับแต่งส่วนบุคคล > การเริ่มต้นระบบ จะมีตัวเลือกที่เขียนว่า "แสดงรายการที่เปิดล่าสุดในเมนู Start หรือแถบงาน และในการเข้าถึงด่วนของ File Explorer" หากคุณเปิดใช้งานตัวเลือกนี้ คุณจะสามารถดูได้อย่างรวดเร็วว่ามีอะไรเปิดใหม่บ้างในช่วงไม่กี่รอบที่ผ่านมา.

นอกจากนี้ ยังมีคำสั่งที่มีประโยชน์มากในการดูรายการสิ่งของที่แก้ไขแล้ว: คุณเพียงแค่ต้อง เปิดกล่องโต้ตอบ "เรียกใช้" (Win + R) พิมพ์ Shell:Recent แล้วกด Enterโฟลเดอร์รายการล่าสุดจะเปิดขึ้น ซึ่งจะมีทางลัดไปยังไฟล์และเอกสารที่ได้รับการเปลี่ยนแปลง หากคุณเห็นสิ่งที่คุณไม่ได้แตะต้อง นั่นเป็นสัญญาณที่ไม่ดี

โปรดจำไว้ว่าประวัติทั้งหมดนี้สามารถลบได้ค่อนข้างง่าย ดังนั้น สิ่งเหล่านี้ไม่ใช่หลักฐานที่พิสูจน์ได้อย่างแน่ชัดในทุกเรื่องแต่ถ้าคนที่ใช้คอมพิวเตอร์ของคุณไม่ค่อยมีประสบการณ์หรือมั่นใจในตัวเองมากเกินไป พวกเขาก็อาจจะทิ้งร่องรอยบางอย่างไว้ในรายการเหล่านี้ได้

ประวัติการเข้าชมเว็บไซต์และบันทึกการใช้งานเครือข่าย

หากผู้ที่ใช้คอมพิวเตอร์ของคุณเริ่มท่องอินเทอร์เน็ต คุณก็จะมีเบาะแสเพิ่มเติมอีกแหล่งหนึ่ง: ประวัติการเข้าชมเว็บไซต์และบันทึกเครือข่ายจริงอยู่ที่ผู้บุกรุกที่ไม่ระมัดระวังอาจลบประวัติการใช้งาน แต่ก็ไม่ใช่ทุกกรณีที่จะเป็นเช่นนั้น

ในแทบทุกเบราว์เซอร์ (Chrome, Edge, Firefox…) คุณสามารถเปิดประวัติการใช้งานได้จาก เมนูที่มีขีดสามเส้นหรือจุดสามจุดที่มุมบนขวามือ หรือโดยการกดปุ่มคีย์ผสม Ctrl + Hโดยค่าเริ่มต้น รายชื่อหน้าเว็บที่เข้าชมพร้อมวันที่และเวลาจะปรากฏอยู่ที่นั่น

ถ้าคุณพบว่าตัวเอง เว็บไซต์ที่คุณไม่เคยได้ยินมาก่อนหากคุณสังเกตเห็นการค้นหาใน Google ที่แปลกไป หรือหน้าเว็บที่น่าสงสัยที่คุณไม่ได้เปิดดู ก็เป็นไปได้มากว่ามีคนกำลังใช้ประวัติการใช้งานของคุณอยู่ ในทางกลับกัน หากประวัติการใช้งานของคุณสะอาดหมดจดอย่างน่าประหลาดใจ และคุณใช้งานอินเทอร์เน็ตบ่อย นั่นก็อาจเป็นเรื่องน่าสงสัยเช่นกัน

ขั้นตอนที่ต้องใช้เทคนิคมากขึ้นคือการตรวจสอบ บันทึกเราเตอร์และ DNSเราเตอร์หลายตัวจะบันทึกว่าอุปกรณ์ใดบ้างที่เชื่อมต่อและเวลาใดบ้าง โดยการเข้าถึงส่วนติดต่อผู้ดูแลระบบของเราเตอร์ คุณสามารถตรวจสอบได้ว่าพีซีของคุณเชื่อมต่อในเวลาที่ไม่ปกติหรือไม่ การเข้าถึง... บันทึกคำขอ DNS (ขึ้นอยู่กับโซลูชันที่คุณใช้) จะช่วยให้คุณเห็นว่าโดเมนใดถูกระบุจากคอมพิวเตอร์เครื่องใด

โดยรวมแล้ว การรวมกันของประวัติการเข้าชมเบราว์เซอร์ บันทึกเราเตอร์ และบันทึก DNS โปรแกรมนี้ให้มุมมองที่ค่อนข้างสมบูรณ์เกี่ยวกับกิจกรรมการท่องเว็บที่เกิดขึ้นจากคอมพิวเตอร์ของคุณ โดยมีเงื่อนไขว่าต้องดำเนินการผ่านช่องทางปกติและไม่ได้ใช้เครื่องมือแอบแฝง

ตรวจสอบโปรแกรมที่ติดตั้ง กระบวนการ และประสิทธิภาพการทำงาน

อีกหนึ่งลักษณะการเคลื่อนไหวทั่วไปของผู้บุกรุก โดยเฉพาะเมื่อมองจากระยะไกล คือ ติดตั้งซอฟต์แวร์เพิ่มเติมเพื่อควบคุมอุปกรณ์ หรือขโมยข้อมูลโดยไม่ถูกตรวจจับ นั่นเป็นเหตุผลว่าทำไมการตรวจสอบรายชื่อโปรแกรมที่ติดตั้งและกระบวนการที่กำลังทำงานอยู่จึงมีความสำคัญ

ใน Windows 10 และ 11 คุณสามารถทำได้โดยเปิดเมนู Start พิมพ์ “Programs” แล้วป้อน... “เพิ่มหรือลบโปรแกรม”คุณจะเห็นรายการแอปพลิเคชันที่ติดตั้งทั้งหมด พื้นที่ที่แอปพลิเคชันเหล่านั้นใช้ และในหลายกรณี วันที่ติดตั้ง สิ่งที่น่าสนใจคือการดูว่า... โปรแกรมที่คุณจำไม่ได้ว่าเคยเพิ่มเข้าไปโดยเฉพาะอย่างยิ่งหากเพิ่งติดตั้งไปไม่นาน

อย่าพึ่งพาไอคอนเพียงอย่างเดียว เพราะมีมัลแวร์ที่ใช้ชื่อและไอคอนที่ดูเหมือนไม่มีพิษภัย โปรดสละเวลาสักครู่เพื่อตรวจสอบแต่ละโปรแกรมทีละโปรแกรม และหากพบสิ่งใดน่าสงสัย ให้ถอนการติดตั้ง หลังจากทำความสะอาดแล้ว ให้กลับมาตรวจสอบอีกครั้งในอีกไม่กี่ชั่วโมงหรือหลายวัน เพื่อดูว่าซอฟต์แวร์ที่น่าสงสัยนั้นปรากฏขึ้นอีกหรือไม่ ซึ่งอาจบ่งชี้ว่ามีส่วนประกอบภายในที่ติดตั้งซอฟต์แวร์นั้นใหม่

ในขณะเดียวกัน ก็ควรพิจารณาทบทวนเรื่องนี้ด้วยเช่นกัน ตัวจัดการงานคุณสามารถเปิดได้โดยกด Ctrl + Shift + Esc จากนั้น ในแท็บ "กระบวนการ" คุณจะเห็นว่าแอปพลิเคชันและกระบวนการทำงานเบื้องหลังใดบ้างที่กำลังทำงานอยู่ และใช้ทรัพยากรไปเท่าใด หากพีซีของคุณทำงานช้าและคุณเห็นสิ่งนี้ กระบวนการที่ไม่ทราบที่มาซึ่งมีการใช้งาน CPU, หน่วยความจำ หรือเครือข่ายสูงไฟล์เหล่านั้นอาจเป็นส่วนหนึ่งของมัลแวร์หรือเครื่องมือที่ผู้บุกรุกติดตั้งไว้

อย่าลืมว่าผู้บุกรุกบางรายใช้ โปรแกรมดักจับการกดแป้นพิมพ์ (keylogger), โปรแกรมเข้าถึงระยะไกล (RAT) หรือซอฟต์แวร์ซ่อนเร้นประเภทอื่นๆโปรแกรมป้องกันไวรัสที่ดีควบคู่กับการตรวจสอบกระบวนการและโปรแกรมต่างๆ ด้วยตนเอง เป็นการผสมผสานที่มีประสิทธิภาพมากในการตรวจจับไวรัส

คำสั่งที่มีประโยชน์สำหรับการตรวจจับกิจกรรมที่น่าสงสัย

นอกเหนือจากโปรแกรม Event Viewer แล้ว Windows ยังมีคำสั่งง่ายๆ อีกหลายคำสั่งที่สามารถช่วยคุณได้ ตรวจสอบว่าใครกำลังใช้งานอุปกรณ์ และอะไรเป็นตัวกระตุ้นให้เกิดการใช้งานคำสั่งเหล่านี้จะถูกเรียกใช้จากหน้าต่าง Command Prompt (CMD) ด้วยสิทธิ์ผู้ดูแลระบบ

คำสั่ง ผู้ใช้เน็ต มันแสดงบัญชีผู้ใช้ที่มีอยู่แล้วในระบบ ถ้าคุณเห็น ผู้ใช้ที่คุณไม่รู้จักหรือไม่ควรรู้จักมีบางอย่างไม่สมเหตุสมผล โดยเฉพาะอย่างยิ่งในคอมพิวเตอร์ที่ใช้งานร่วมกัน เพราะอาจมีคนสร้างบัญชีเพื่อล็อกอินโดยไม่ให้ใครสังเกตเห็นมากนัก

คำสั่ง วูอามิ ระบบจะแจ้งให้คุณทราบว่าขณะนี้คุณกำลังเข้าสู่ระบบด้วยบัญชีผู้ใช้ใด

สำหรับเรื่องการเพิ่มพลังและการเปิดใช้งานใหม่ คุณสามารถใช้ powercfg /lastwake เพื่อตรวจสอบสาเหตุที่ทำให้คอมพิวเตอร์ "ตื่น" ขึ้นมาครั้งล่าสุด หากมีอุปกรณ์หรือแหล่งที่มาปรากฏขึ้นมาที่ไม่ตรงกับพฤติกรรมของคุณ (ตัวอย่างเช่น อะแดปเตอร์เครือข่าย ในขณะที่คุณไม่ได้เปิดใช้งานอะไรเลย) คอมพิวเตอร์อาจเปิดขึ้นเองโดยอัตโนมัติ หรืออาจมีคนเปิดจากระยะไกลก็ได้.

คำสั่งเหล่านี้ไม่ได้ใช้แทนโปรแกรม Event Viewer หรือการตรวจสอบต่างๆ แต่... เป็นวิธีที่รวดเร็วในการรับข้อมูลโดยไม่ต้องเจาะลึกเข้าไปในเมนูมากนักเหมาะสำหรับการตรวจสอบเบื้องต้น

วิธีดูรหัสผ่านที่เคยลองใช้เมื่อเข้าสู่ระบบพีซีของคุณ

หากคุณสงสัยว่าคนใกล้ชิดของคุณ (เพื่อนร่วมงาน สมาชิกในครอบครัว เพื่อนร่วมห้อง…) กำลังทำสิ่งผิดปกติ ระบบกำลังพยายามค้นหารหัสผ่าน Windows ของคุณคุณสามารถทำได้มากกว่านั้นโดยการบันทึกการพยายามปลดล็อกด้วยเครื่องมือภายนอก

ทางเลือกที่น่าสนใจอย่างหนึ่งคือการใช้โปรแกรมอย่างเช่น ล็อคเมาส์แอปพลิเคชันแบบพกพา (ไม่ต้องติดตั้ง) ที่เพิ่มหน้าจอล็อกของตัวเองไว้บนเดสก์ท็อปของ Windows โดยไม่รบกวนหน้าจอล็อกดั้งเดิมของระบบ ด้วยวิธีนี้ การพยายามปลดล็อกเซสชันของคุณจะต้องผ่านขั้นตอนการล็อกเมาส์ก่อน.

เมื่อคุณตั้งค่าเครื่องมือ คุณจะต้องเลือกรหัสผ่านปลดล็อกและสามารถเปิดใช้งานตัวเลือกเพิ่มเติมได้ เช่น บังคับให้ตัวชี้เมาส์อยู่ภายในช่องใส่รหัสผ่านวางเมาส์ไว้ตรงกลางขณะปลดล็อก หรือป้องกันไม่ให้ Task Manager เปิดขึ้นมาเพื่อปิดกระบวนการทำงาน

เรื่องตลกก็คือ เมื่อมีคนพยายามเข้าไปแล้วไม่สำเร็จ Mouse Lock จะบันทึกรหัสผ่านที่คุณเคยลองใช้เมื่อคุณปลดล็อกอุปกรณ์สำเร็จ แอปพลิเคชันจะแสดงรายการรหัสผ่านทั้งหมดที่ป้อนและจำนวนครั้งที่ป้อนผิด คุณสามารถบันทึกรายการนี้หรือใช้เพื่อดูว่ามีใครใกล้เคียงกับการเดารหัสผ่านของคุณหรือไม่ และควรเปลี่ยนรหัสผ่านหรือไม่

โซลูชันประเภทนี้มีประโยชน์อย่างยิ่งในสภาพแวดล้อมที่ มีความไว้วางใจในระดับหนึ่ง แต่ไม่ใช่ความไว้วางใจโดยสมบูรณ์เช่น อพาร์ตเมนต์ที่พักร่วมกัน สำนักงานแบบเปิดโล่ง หรือบ้านที่มีคนหลายคนสามารถเข้าถึงคอมพิวเตอร์ได้ อย่างไรก็ตาม ควรใช้คอมพิวเตอร์อย่างมีความรับผิดชอบ และเคารพกฎหมายและสิทธิส่วนบุคคลของผู้อื่นเสมอ

ตัวบ่งชี้ทางกายภาพอื่นๆ: เว็บแคม ปลั๊กอัจฉริยะ และอื่นๆ

นอกเหนือจากบันทึกของ Windows แล้ว คุณยังสามารถดูสิ่งต่อไปนี้ได้อีกด้วย สัญญาณทางกายภาพและเครื่องมือภายนอกที่ให้ข้อมูลเพิ่มเติม เกี่ยวกับการใช้งานพีซี

ถือเป็นผลงานคลาสสิก ไฟเว็บแคมผู้โจมตีและผู้ที่อยากรู้อยากเห็นบางคนอดใจไม่ไหวที่จะเปิดกล้องเพื่อดูว่าคุณกำลังทำอะไรอยู่ หากคุณสังเกตเห็นไฟ LED ของกล้องเปิดขึ้นโดยที่คุณไม่ได้เปิดแอปพลิเคชันการโทรผ่านวิดีโอใดๆ หรือหากคุณเห็นว่าการตั้งค่าการอนุญาตกล้องมีการเปลี่ยนแปลง นั่นเป็นสัญญาณเตือนภัย

คุณสามารถใช้วิธีอื่นได้เช่นกัน ปลั๊กอัจฉริยะสำหรับคอมพิวเตอร์โดยเฉพาะโดยการเชื่อมต่อเฉพาะพีซีเข้ากับเต้ารับนั้น (โดยไม่ใช้ร่วมกับอุปกรณ์อื่น) แอปของผู้ผลิตจะแสดงข้อมูลให้คุณเห็น มีการใช้พลังงานเมื่อใดและเป็นเวลานานเท่าใดหากคุณพบว่ามีการใช้ไฟฟ้าในช่วงเวลาที่คุณรู้ว่าไม่อยู่บ้าน นั่นหมายความว่ามีคนเปิดไฟฟ้าอย่างแน่นอน

นอกจากนั้นแล้ว ยังมีสิ่งที่ควรให้ความสนใจอีกด้วย พฤติกรรมการใช้งานเบราว์เซอร์ที่ผิดปกติ เช่น การเปลี่ยนเส้นทางไปยังหน้าเว็บที่แปลกหรือน่าสงสัย โดยที่คุณไม่ได้คลิกอะไรเลย นี่มักเป็นสัญญาณของแอดแวร์หรือการเปลี่ยนแปลงการตั้งค่าเครือข่ายโดยซอฟต์แวร์ที่เป็นอันตราย

เมื่อนำเบาะแสเหล่านี้มารวมกับบันทึกของ Windows และบทวิจารณ์โปรแกรม คุณก็จะได้ข้อมูลดังต่อไปนี้ เป็นตัวบ่งชี้ที่ค่อนข้างน่าเชื่อถือว่ามีคนอื่นใช้คอมพิวเตอร์ของคุณหรือไม่และเหตุการณ์ดังกล่าวเกิดขึ้นในช่วงเวลาใดบ้าง

วิธีตรวจสอบว่ามีคนใช้ Mac ของคุณหรือไม่ โดยใช้ฟังก์ชัน “Screen Time”

ในระบบนิเวศของ Apple นั้นง่ายยิ่งกว่า ไม่ว่าจะเป็นบน Mac, iPhone หรือ iPad ก็ตาม ระบบปฏิบัติการนี้มีฟีเจอร์ที่เรียกว่า “เวลาใช้งานหน้าจอ” ซึ่งจะบันทึกว่าอุปกรณ์ถูกใช้งานไปมากแค่ไหน ใช้แอปพลิเคชันใด และในช่วงเวลาใดบ้าง

บนเครื่อง Mac คุณสามารถเข้าถึงส่วนนี้ได้จาก การตั้งค่าระบบ (หรือ การตั้งค่าต่างๆ ขึ้นอยู่กับเวอร์ชัน) โดยการค้นหาโดยตรง ดู "ระยะเวลาการใช้งาน" ในแว่นขยายหรือในแถบด้านข้างเมื่อเข้าไปข้างในแล้ว คุณจะเห็นกราฟแสดงชั่วโมงการใช้งาน รายละเอียดแยกตามแอป และรายละเอียดรายวัน

สิ่งที่น่าสนใจก็คือ ฟังก์ชันนี้ไม่สามารถปิดใช้งานได้อย่างเฉพาะเจาะจงและรอบคอบ เพื่อลบร่องรอยโดยไม่ทิ้งร่องรอยใดๆ ไว้ให้เห็นได้ชัดเจน นั่นหมายความว่า หากคุณตรวจสอบเวลาการใช้งานและพบกิจกรรมในช่วงเวลาที่คุณไม่ได้อยู่หน้าเครื่อง Mac ของคุณ คุณสามารถยืนยันได้อย่างเกือบแน่นอนว่ามีคนใช้งานมันอยู่.

นอกจากนี้ คุณยังสามารถดูได้ว่าแอปพลิเคชันใดบ้างที่ถูกเปิดใช้งาน เปิดใช้งานนานแค่ไหน และรายละเอียดอื่นๆ ที่จะช่วยให้คุณเข้าใจว่าผู้บุกรุกกำลังทำอะไรอยู่ เช่น ตรวจสอบอีเมล ท่องเว็บ เปิดเอกสาร เป็นต้น

เครื่องมือทางนิติวิทยาศาสตร์และการกู้คืนกิจกรรมขั้นสูง

หากสิ่งที่คุณต้องการคือ จำลองการกระทำทุกอย่างของผู้ใช้บนพีซีของคุณโดยละเอียดครบถ้วน (ไฟล์ที่ถูกเปิด คัดลอก หรือลบ โปรแกรมที่ใช้ การเข้าสู่ระบบ กระบวนการที่กำลังทำงาน…) ตอนนี้เราเข้าสู่ขอบเขตของการวิเคราะห์ทางนิติวิทยาศาสตร์แล้ว

ใน Windows 11 และเวอร์ชันก่อนหน้า มีเครื่องมือเฉพาะทางต่างๆ เช่น เครื่องมือสแกนเพื่อการกู้คืน Farbar (FRST)สิ่งนี้พบได้บ่อยมากในฟอรัมสนับสนุนขั้นสูง ยูทิลิตีนี้จะวิเคราะห์ระบบอย่างละเอียด รวมถึง... บันทึกข้อมูล บริการ ไดรเวอร์ กระบวนการ การตั้งค่าอินเทอร์เน็ต และอื่นๆสร้างรายงานฉบับสมบูรณ์ (Frst.txt และ Addition.txt)

ขั้นตอนทั่วไปคือการดาวน์โหลดเวอร์ชันที่เหมาะสม (32 หรือ 64 บิต) เรียกใช้งานจากเดสก์ท็อป ยอมรับข้อความแจ้งความรับผิดชอบ และเลือกช่องต่างๆ เช่น “รีจิสทรี” “บริการ” “ไดรเวอร์” “กระบวนการ” “อินเทอร์เน็ต” และที่สำคัญมากคือ ตัวเลือกในการ “Addition.txt”การคลิกที่ “วิเคราะห์” จะสร้างบันทึกข้อมูลสองสามรายการ ซึ่งคุณสามารถตรวจสอบได้ด้วยตนเองหรือแชร์กับผู้เชี่ยวชาญเพื่อช่วยคุณตีความข้อมูลเหล่านั้น

รายงานเหล่านี้ไม่เพียงมีประโยชน์ในการตรวจจับมัลแวร์เท่านั้น แต่ยังช่วยให้คุณมองเห็นสิ่งต่างๆ ได้อีกด้วย มีการเรียกใช้โปรแกรมอะไรบ้าง และมีการเปลี่ยนแปลงอะไรเกิดขึ้นกับระบบบ้าง และเบาะแสอื่นๆ ที่เมื่อนำมาเชื่อมโยงกับวันและเวลา จะช่วยให้สามารถสร้างลำดับเหตุการณ์การใช้งานของผู้ใช้รายใดรายหนึ่งขึ้นมาใหม่ได้

นอกเหนือจาก FRST แล้ว โลกของการวิเคราะห์ทางนิติวิทยาศาสตร์ยังรวมถึงโซลูชันที่มีประสิทธิภาพสูง (และซับซ้อน) ที่สามารถ... กู้คืนข้อมูลจากดิสก์ สร้างไฟล์ที่ถูกลบขึ้นใหม่ ดึงประวัติการใช้งานแอปพลิเคชัน และยังมีอีกมากมาย เครื่องมือเหล่านี้อาจไม่ใช่สำหรับทุกคน แต่การรู้ว่าเครื่องมือเหล่านี้มีอยู่จะทำให้คุณเข้าใจว่าการซ่อนกิจกรรมบนระบบที่ยังไม่ได้ฟอร์แมตอย่างสมบูรณ์นั้นยากเพียงใด

วิธีปกป้องพีซีของคุณหากคุณยืนยันได้ว่ามีคนอื่นใช้งานพีซีของคุณ

เมื่อคุณแน่ใจแล้วว่ามีคนใช้คอมพิวเตอร์ของคุณโดยไม่ได้รับอนุญาต ขั้นตอนต่อไปคือ ปิดประตูทุกบานเท่าที่จะทำได้ เพื่อป้องกันไม่ให้เหตุการณ์เช่นนี้เกิดขึ้นอีกนี่คือจุดที่รหัสผ่าน บัญชีผู้ใช้ การเข้ารหัส และนิสัยที่ดีบางอย่างเข้ามามีบทบาท

สิ่งแรกที่ต้องทำคือตรวจสอบ ตัวเลือกการเข้าสู่ระบบ Windowsไปที่ การตั้งค่า > บัญชี แล้วป้อน “ตัวเลือกการเข้าสู่ระบบ” คุณจะเห็นวิธีการต่างๆ เช่น Windows Hello รองรับการจดจำใบหน้า ลายนิ้วมือ รหัส PIN รหัสความปลอดภัย และรหัสผ่านหากคุณเคยเข้าสู่ระบบโดยไม่ใช้รหัสผ่าน หรือใช้รหัสผ่านที่ง่ายเกินไป ก็ถึงเวลาที่คุณต้องจริงจังแล้ว

ในส่วน "รหัสผ่าน" คุณสามารถ เพิ่มหรือเปลี่ยนรหัสผ่านบัญชีของคุณตรวจสอบให้แน่ใจว่าชื่อผู้ใช้ยากต่อการเดา (เช่น ไม่ใช่ชื่อวันเกิดหรือชื่อที่เดาได้ง่าย) และอย่าแชร์ให้ใคร หากคุณใช้คอมพิวเตอร์ร่วมกับผู้อื่น ให้สร้างชื่อผู้ใช้ที่ปลอดภัย บัญชีผู้ใช้แยกต่างหากสำหรับแต่ละคนแต่ละอันมีรหัสผ่านหรือวิธีการยืนยันตัวตนเป็นของตัวเอง

ขอแนะนำอย่างยิ่งให้เปิดใช้งานด้วยเช่นกัน ล็อคหน้าจออัตโนมัติ เมื่อคุณจะไม่อยู่สักครู่ คุณสามารถปรับเวลาที่คอมพิวเตอร์ของคุณจะล็อกและขอข้อมูลประจำตัวของคุณได้ใน การตั้งค่า > การปรับแต่งส่วนบุคคล > หน้าจอล็อก และในตัวเลือกการประหยัดพลังงาน วิธีนี้จะช่วยป้องกันไม่ให้ใครก็ตามเข้ามาแอบดูข้อมูลของคุณโดยไม่ได้รับอนุญาต

หากคุณต้องจัดการข้อมูลที่ละเอียดอ่อน โปรดพิจารณาใช้ การเข้ารหัสดิสก์ด้วย BitLocker (ใน Windows รุ่นที่รองรับ) ด้วยไดรฟ์ที่เข้ารหัส แม้ว่าจะมีคนถอดฮาร์ดไดรฟ์ของคุณออกไปเชื่อมต่อกับคอมพิวเตอร์เครื่องอื่น พวกเขาก็จะไม่สามารถอ่านข้อมูลของคุณได้หากไม่มีรหัสเข้ารหัส นี่เป็นวิธีที่มีประสิทธิภาพมากในการป้องกันการเข้าถึงทางกายภาพ

อย่าลืมเปลี่ยนรหัสผ่านสำหรับบัญชีสำคัญๆ (อีเมล บัญชีธนาคารออนไลน์ โซเชียลมีเดีย) หากคุณสงสัยว่าอาจมีคนเห็นรหัสผ่านของคุณหรือบันทึกการพิมพ์ของคุณไว้ และแน่นอนว่า... หมั่นอัปเดตโปรแกรมป้องกันไวรัสของคุณอยู่เสมอ และทำการสแกนแบบเต็มรูปแบบเป็นประจำ ในกรณีที่การบุกรุกได้ทิ้งมัลแวร์หรือสิ่งแปลปลอมไว้ติดตัวด้วย

คำถามที่พบบ่อยเกี่ยวกับการบุกรุกเครื่องคอมพิวเตอร์ของคุณ

คำถามที่พบบ่อยมากคือ วิธีใดที่น่าเชื่อถือที่สุดในการตรวจสอบว่าคอมพิวเตอร์ของคุณเปิดอยู่หรือไม่ในขณะที่คุณไม่อยู่ ในระบบปฏิบัติการ Windows โปรแกรม Event Viewer ยังคงเป็นตัวเลือกที่มีประสิทธิภาพและแม่นยำที่สุดเนื่องจากระบบจะบันทึกทั้งเหตุการณ์ของระบบ (การเริ่มต้น การปิดระบบ การระงับการทำงาน) รวมถึงการเข้าสู่ระบบและเหตุการณ์ด้านความปลอดภัยอื่นๆ

อีกคำถามที่เกิดขึ้นซ้ำๆ คือ ผู้บุกรุกสามารถลบร่องรอยทั้งหมดของตนเองได้หรือไม่ ผู้ใช้ขั้นสูงสามารถล้างประวัติการใช้งาน ไฟล์ล่าสุด โปรแกรมที่ติดตั้ง และร่องรอยการใช้งานส่วนใหญ่ได้อย่างไรก็ตาม การลบเหตุการณ์ที่เกี่ยวข้องทั้งหมดออกจาก Event Viewer และบันทึกความปลอดภัยโดยไม่ทิ้งร่องรอยใด ๆ นั้นซับซ้อนกว่ามาก และโดยปกติแล้วต้องอาศัยความรู้เฉพาะทางเป็นอย่างยิ่ง

ส่วนเรื่องการดำเนินการหากคุณยืนยันว่ามีการเข้าถึงโดยไม่ได้รับอนุญาต อย่างน้อยที่สุดก็คือ... เปลี่ยนรหัสผ่านเข้าสู่ระบบ สแกนไวรัส ตรวจสอบหรือถอนการติดตั้งโปรแกรมที่น่าสงสัย และเสริมความแข็งแกร่งให้กับนโยบายความปลอดภัยของคุณ (การบล็อกอัตโนมัติ บัญชีแยกต่างหาก ฯลฯ) หากคุณเชื่อว่าการเข้าถึงนั้นมาจากระยะไกลหรือเป็นการกระทำที่เป็นอันตราย คุณอาจพิจารณาแจ้งเรื่องหรือพูดคุยกับฝ่ายไอทีของบริษัท (ตัวอย่างเช่น ตรวจสอบว่าเครื่องมือดังกล่าวรองรับหรือไม่) ความช่วยเหลือด่วน (เคยใช้) หรือปรึกษาผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์

ด้วยเครื่องมือและเทคนิคทั้งหมดเหล่านี้ ตั้งแต่โปรแกรมดูเหตุการณ์ (Event Viewer) ไปจนถึงปลั๊กอัจฉริยะ รวมถึงบันทึกข้อมูล การตรวจสอบ และยูทิลิตี้สำหรับการวิเคราะห์ทางนิติวิทยาศาสตร์ คุณมีทรัพยากรเพียงพอที่จะตรวจสอบว่ามีใครใช้พีซีของคุณหรือไม่ พวกเขาทำอะไร และจะเสริมความแข็งแกร่งด้านการป้องกันได้อย่างไรเพื่อให้ครั้งต่อไปที่คุณลุกจากเก้าอี้ คุณจะได้ออกจากคอมพิวเตอร์ด้วยความสบายใจมากขึ้น