[研究]自行架設免費 EDR Server/Client(Agent)推薦

[研究]自行架設免費 EDR Server/Client(Agent)推薦

2026-08-28

排名	方案	Server	Windows Agent	EDR 能力	FIM/目錄監控	自架	推薦度
🥇	Wazuh	Linux	Windows	★★★☆☆	★★★★★	✅	95/100
🥈	Velociraptor	Linux/Windows	Windows	★★★★★	★★★★☆	✅	92/100
🥉	Comodo OpenEDR	Elastic/ELK 等	Windows	★★★★★	★★★★☆	⚠️	75/100
4	Free EDR / 舊 OpenEDR fork	Linux/Docker	Windows	★★★★☆	★★★★☆	✅	60/100

********************************************************************************

Wazuh
https://documentation.wazuh.com/current/quickstart.html
官方目前仍明確定位為免費、Open Source 的 XDR/SIEM 平台。

大致上可以說「XDR 包含 EDR 的核心能力」。

「正式機 Code 目錄是否被駭客新增/修改/刪除」的需求，Wazuh 特別適合。

********************************************************************************

Velociraptor (伶盜龍屬)

https://www.velociraptor-docs.org/downloads/

「伺服器被入侵後，我要查駭客到底做了什麼？」

Velociraptor 甚至比 Wazuh 更強。

********************************************************************************

Comodo OpenEDR

https://www.openedr.com/

https://github.com/ComodoSecurity/openedr

2025～2026 年的 OpenEDR 專案目前有一些值得非常注意的安全維護問題；GitHub 上甚至仍有公開的高風險漏洞議題，例如 2026 年 7 月提出的多項 local privilege-boundary / RCE / SYSTEM execution 問題。

https://github.com/ComodoSecurity/openedr/issues/56

功能上很像 EDR，但如果是正式機，目前不建議把 OpenEDR 當第一選擇。

Comodo OpenEDR 並不是提供一個完整的「OpenEDR Server」安裝包，讓你像 Wazuh 一樣安裝 Server + Dashboard。

它目前大致有兩種模式：

模式	Server / Console	Agent	是否自行架設	說明
Comodo/Xcitium Cloud EDR	☁️ Comodo Cloud	Windows Agent	❌	官方提供的完整管理平台
OpenEDR Open Source	自己架 Elasticsearch + Logstash + Kibana	OpenEDR Windows Agent	✅	自己組 EDR 後端
真正的 OpenEDR Server	❌ 沒有類似 Wazuh Server 的獨立套件	—	—	這點很重要

官方 GitHub 的安裝文件寫得很清楚：OpenEDR Agent 本身把 telemetry 留在 endpoint，然後可以透過 Filebeat → Elasticsearch，再用 Kibana 做分析；Elasticsearch 可以自己裝在自己的機房或 Docker。

https://github.com/ComodoSecurity/openedr/blob/main/getting-started/InstallationInstructions.md

而 OpenEDR 官方社群在 2024 年也直接回答：Cloud Console cannot be run locally (on-premise)

但是可以自己部署 OpenEDR instance，自己配置規則，並使用 Elasticsearch/Kibana。

https://community.openedr.com/t/using-cloud-console-locally-and-agent-connectivity/950

********************************************************************************

FreeEDR

https://github.com/jymcheong/FreeEDR

不建議現在新建正式環境採用這個。

********************************************************************************

最後建議

🥇 正式環境

Wazuh

最推薦。免費、Open Source、自架、Windows Agent、FIM、Event Log、Sysmon、Dashboard 都完整。

🥈 想做進階 EDR / Threat Hunting

Wazuh + Velociraptor

這個組合比單獨一套免費 EDR 更有價值。

🥉 想研究真正的 Kernel-level EDR

Comodo OpenEDR

很值得 Lab 測試，但我目前不建議你直接拿來當正式機第一防線。

❌ 舊版「OpenEDR / Free EDR」

jymcheong/OpenEDR 已經特別改名為 Free EDR，是為了避免和 Comodo 的 OpenEDR 混淆；它的架構需要 Linux/Docker，Windows Agent 曾測試到 Windows 10 / Server 2012 R2～2019。

不建議現在新建正式環境採用這個。

********************************************************************************

(完)

[研究]Windows DACL 與 SACL 是甚麼？

[研究]Windows DACL 與 SACL  是甚麼？

2026-08-28

• DACL = 誰「可以做什麼」
• SACL = 誰「做了什麼要不要記錄」

或

• DACL = 門禁
• SACL = 監視器 + 門禁紀錄

更簡單：

1. 🔐 DACL：管權限
2. 📝 SACL：管稽核

項目	DACL	SACL
全名	Discretionary Access Control List	System Access Control List
中文	自主存取控制清單	系統存取控制清單
主要用途	控制存取權限	控制稽核/記錄
決定什麼？	誰可以讀、寫、刪除、執行	哪些存取行為要寫入 Security Event Log
例如	Alice 可以修改 C:\Web\App.exe	Alice 修改 App.exe 時產生稽核事件
沒有設定時	可能允許/拒絕存取依其他安全規則決定	不會因該物件產生對應的 SACL 稽核事件
常見用途	資料夾/檔案權限管理	檔案異動追蹤、資安稽核
Windows Log	不直接產生事件	通常產生在 Security Log

(完)

[研究]比較Wazuh、典型商業EDR、XDR、NDR、SOAR

[研究]比較Wazuh、典型商業EDR、XDR、NDR、SOAR

2026-08-28

表格比較呈現 Wazuh、典型商業EDR、典型商業XDR、典型商業NDR、典型商業SOAR

比較項目	Wazuh	典型商業 EDR	典型商業 XDR	典型商業 NDR	典型商業 SOAR
核心定位	SIEM + HIDS/FIM + Security Monitoring	Endpoint Detection & Response	Extended Detection & Response	Network Detection & Response	Security Orchestration, Automation & Response
主要監控對象	Server、PC、Endpoint、Log、檔案、設定	PC、Server、Endpoint	Endpoint + Email + Identity + Cloud + Network 等	網路流量 / 網路行為	各種資安產品與事件
Agent	✅ 有	✅ 有	✅ 通常有	❌ 通常不需要 Endpoint Agent	❌ 通常沒有
Endpoint 行為監控	🟡 有，但不是最強項	🟢 很強	🟢 很強	❌	❌
Process 監控	🟡	🟢 強	🟢 強	🟡 間接觀察	❌
Malware / Ransomware 偵測	🟡	🟢 強	🟢 強	🟢 網路層偵測	❌
Exploit / Attack 行為偵測	🟡	🟢 強	🟢 強	🟢 強	❌
IOC 搜尋	🟢	🟢 強	🟢 強	🟢	🟡
Threat Hunting	🟢	🟢 強	🟢 很強	🟢 很強	❌
Log 收集	🟢 很強	🟡～🟢	🟢	🟢	🟡
Windows Event Log	🟢	🟢	🟢	❌	🟡
Linux Log	🟢	🟡	🟢	❌	🟡
FIM 檔案完整性監控	🟢 很強	🟡	🟢	❌	❌
Registry 監控	🟢	🟢	🟢	❌	❌
Web Server 目錄監控	🟢 很適合	🟡	🟢	❌	❌
網路封包分析	❌	🟡	🟢	🟢 核心功能	❌
Network Traffic Analysis	❌	🟡	🟢	🟢 核心功能	❌
IDS/IPS	🟡 可整合	🟡	🟢	🟢	❌
Identity / AD 分析	🟢 Log 層	🟢/🟡	🟢	🟡	🟡
Cloud 安全	🟡	🟢	🟢 很強	🟢	🟢
Email 安全	🟡 Log/整合	🟡	🟢	❌	🟢
SIEM	🟢 核心能力	❌/🟡	🟢	🟡	❌
Dashboard	🟢	🟢	🟢	🟢	🟢
Alert	🟢	🟢	🟢	🟢	🟢
Alert Correlation	🟢	🟢	🟢 很強	🟢	🟢
Incident Response	🟡	🟢 核心能力	🟢 核心能力	🟢	🟢 核心能力
自動隔離 Endpoint	🟡/需整合	🟢	🟢	❌	🟢 可呼叫其他產品
Kill Process	🟡/需自行處理	🟢	🟢	❌	🟢
自動封鎖 IP	🟡/可整合	🟢/依產品	🟢	🟢	🟢
自動化 Playbook	🟡	🟢	🟢	🟢	🟢 核心能力
SOAR	❌ 核心不是 SOAR	🟡	🟢/整合	🟡	🟢 核心
多產品協同處理	🟡	🟡	🟢	🟡	🟢 很強
Forensics	🟡	🟢 強	🟢 強	🟢	❌
Threat Intelligence	🟢 可整合	🟢	🟢	🟢	🟢
MITRE ATT&CK	🟢	🟢	🟢	🟢	🟢
成本	🟢 免費/開源	🔴 商業授權	🔴 通常較高	🔴 通常較高	🔴 通常較高
適合中小型環境	🟢 很適合	🟢	🟡	🟡	🟡
適合大型 SOC	🟢	🟢	🟢	🟢	🟢

用一句話區分

類型	最簡單的理解
Wazuh	「收 Log + FIM + HIDS + Security Monitoring + SIEM」
EDR	「盯住 Endpoint，找出攻擊行為並處理它」
XDR	「把 Endpoint、Network、Identity、Email、Cloud 等安全資料串起來看攻擊」
NDR	「盯住網路，看誰在跟誰通訊、是否有攻擊行為」
SOAR	「收到資安事件後，自動執行處理流程」

如果硬要把它們放在同一張架構圖：

Security Operations / SOC │ ┌──────────────┼──────────────┐ │ │ │ SIEM XDR SOAR │ │ │ ┌──┴──┐ ┌───┴────┐ 自動化 │Wazuh│ │EDR/NDR │ Playbook └──┬──┘ └───┬────┘ │ │ ┌──────┼──────┐ │ │ │ │ │ Log FIM HIDS Endpoint │ │ │ Server Server PC/Server

Wazuh 的適合度

技術	適合度
FIM	⭐⭐⭐⭐⭐ 95/100
Windows SACL + Event Log	⭐⭐⭐⭐⭐ 95/100
Sysmon	⭐⭐⭐⭐ 85/100
商業 EDR	⭐⭐⭐⭐ 85～95/100
商業 XDR	⭐⭐⭐⭐ 80～95/100
NDR	⭐ 20/100
SOAR	⭐ 20/100

(完)

[研究]Wazuh平台簡介

[研究]Wazuh平台簡介

2026-08-28

Wazuh 最準確的定位是：「開放原始碼的資安監控與安全平台（Security Platform）」。

產品類型：開放原始碼資安監控與偵測回應平台（Open Source Security Monitoring and Detection & Response Platform）

Wazuh → Security Platform（以 SIEM/HIDS/FIM 為核心，兼具部分 EDR/XDR/SOAR 能力）。

它不太適合單純稱為「系統」，也不只是單一的 EDR 軟體。

分類	Wazuh 是否屬於	說明
資安平台（Security Platform）	✅ 最適合	整合 Agent、Server、Indexer、Dashboard 等元件
資安監控平台	✅	監控主機、事件、日誌、檔案異動、弱點等
SIEM	✅	可蒐集、分析、關聯安全事件與 Log
XDR	⚠️ 部分具備	可跨端點、Log、雲端等來源整合，但與典型商業 XDR 定位不同
EDR	⚠️ 具備部分 EDR 能力	Agent 可做端點監控、程序、檔案、Rootkit、事件等，但不是典型商業 EDR 的完整產品定位
FIM（File Integrity Monitoring）	✅	可監控檔案/目錄新增、修改、刪除
HIDS	✅	Host-based Intrusion Detection System
漏洞管理	✅	可進行 Vulnerability Detection
SOAR	⚠️ 部分能力	可透過 Active Response 自動執行處置，但不是完整 SOAR
NDR	❌	不是主要定位；Wazuh 本身不是網路流量型 NDR
作業系統 OS	❌	Wazuh 不是 Windows/Linux OS
單一軟體	❌	實際上是多元件平台
單純 Log Server	❌	功能遠超過單純 Log 收集

最簡單的一句話：Wazuh = Open Source Security Platform，結合 SIEM + HIDS + FIM + Vulnerability Detection + 部分 EDR/XDR/SOAR 能力。

架構上大致可以理解成：

┌─────────────────────┐ │ Wazuh Dashboard │ │ 管理 / 查詢 / 分析 │ └──────────┬──────────┘ │ ┌──────────▼──────────┐ │ Wazuh Server │ │ 規則 / 分析 / Active │ │ Response / 管理 │ └──────────┬──────────┘ │ ┌──────────▼──────────┐ │ Wazuh Indexer │ │ 儲存 / 搜尋 / 分析 │ └─────────────────────┘ ┌──────────────┬──────────────┬──────────────┐ ▼ ▼ ▼ Windows Agent Linux Agent Other Sources │ │ ├─ Log ├─ Log ├─ FIM ├─ FIM ├─ Process ├─ Process ├─ Security ├─ Security └─ Vulnerability

(完)

[研究]Wazuh Server v4.14 開源 XDR、SIEM 安裝(Ubuntu 26.04 LTS)

[研究]Wazuh Server  v4.14 開源 XDR、SIEM 安裝(Ubuntu 26.04 LTS)

2026-08-27、2026-08-28

官方網站 Wazuh - Open Source XDR. Open Source SIEM.
https://wazuh.com/

Wazuh Server (Ubuntu) 常用 Port

Port	Protocol	用途	必要性
1514	TCP/UDP	Wazuh Agent → Manager，傳送事件/Log	⭐⭐⭐ 必要
1515	TCP	Agent enrollment / registration	⭐⭐⭐ 初次註冊必要
55000	TCP	Wazuh API	⭐⭐ Dashboard/API
443	TCP	Wazuh Dashboard HTTPS	⭐⭐⭐ 從瀏覽器登入必要
9200	TCP	Wazuh Indexer API	⚠️ 通常不需要對外開
9300	TCP	Indexer cluster communication	⚠️ 多節點才需要

如果要複製指令，貼到 Ubuntu (VM) 中，請參考下篇安裝 Open VM Tools

[研究]VMware Workstation Pro 於 Ubuntu 26.04 VM 安裝 Open VM Tools方法
https://shaurong.blogspot.com/2026/08/vmware-workstation-pro-ubuntu-2604-vm.html

一、先確認 Ubuntu UFW

sudo ufw status

如果：Status: inactive，表示 UFW 沒有啟用，不用新增 Port。

如果：Status: active，才需要設定。

ufw /?  可以查指令，enable 啟用，disable 停用。

二、開放 Wazuh Port

sudo ufw allow 1514/tcp

sudo ufw allow 1514/udp

sudo ufw allow 1515/tcp

sudo ufw allow 55000/tcp

sudo ufw allow 443/tcp

sudo ufw reload

sudo ufw status numbered

三、比較推薦：只允許內網

sudo ufw allow from 192.168.128.0/24 to any port 1514 proto tcp

sudo ufw allow from 192.168.128.0/24 to any port 1514 proto udp

sudo ufw allow from 192.168.128.0/24 to any port 1515 proto tcp

sudo ufw allow from 192.168.128.0/24 to any port 443 proto tcp

sudo ufw allow from 192.168.128.0/24 to any port 55000 proto tcp

********************************************************************************

Windows Wazuh Agent 需要開哪些 Port？(理論上不用特別處理)

Port	Protocol	用途
1514	TCP/UDP	Wazuh Agent → Manager
1515	TCP	Agent registration
55000	TCP	Wazuh API
443	TCP	Dashboard HTTPS

********************************************************************************

安裝基本套件 sudo apt install -y curl unzip wget gnupg

看 IP 是甚麼：ip addr

看 主機名稱 (hostname) 是甚麼：hostnamectl

安裝：

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh

sudo bash ./wazuh-install.sh -a

安裝程式會自動處理：

Wazuh Indexer => Wazuh Manager => Filebeat => Wazuh Dashboard

不需要一個一個手動安裝。

訊息最後有 Wazuh Dashboard 管理員帳號

User: admin

Password: SjB01?PP1ZhH50u?XUYzuTzZAS?ysnLK

    User: admin

    Password: iB??XPusjGDVQg.2iySsco6CjqQgNl3i

從 Windows PC 開瀏覽器：https://192.168.128.134

若想確認狀態，Ubuntu 執行：

sudo systemctl status wazuh-manager

sudo systemctl status wazuh-indexer

sudo systemctl status wazuh-dashboard

sudo systemctl status filebeat

或可以一次執行：

sudo systemctl status wazuh-manager wazuh-indexer wazuh-dashboard filebeat

應該會看到

Active: active (running)

確認 Wazuh 實際有 Listen

sudo ss -lntup | grep -E '1514|1515|443|55000'

按下 Deploy new agent 按鈕

填好資訊，到 Windows Agent  ( 例如 Windows Server 2019) 上執行指令

WAZUH_MANAGER 是 Wazuh Server 的 IP (Ubuntu)

貼到 Windows Server 2019 ( Agent) 的 PowerShell上執行

Server 端 (PC Windows 瀏覽器 Dashboard 畫面)

成功。

(完)

[研究]Windows11/2019/2022/2025 到底有幾種內建 .rar 壓縮／解壓縮方式？

[研究]Windows11/2019/2022/2025 到底有幾種內建 .rar 壓縮／解壓縮方式？

2026-08-27 

Windows11/2019/2022/2025 到底有幾種內建 .rar 壓縮／解壓縮方式？每一種從哪一版開始？官方 Microsoft 文件在哪裡？表格呈現？  

Windows	版本／Build	原生 .RAR 解壓縮	原生 .RAR 壓縮	原生方式	從哪一版開始	是否需要第三方軟體	Microsoft 官方文件
Windows 11	21H2	❌	❌	無	—	✅ 需要	—
Windows 11	22H2	❌	❌	無	—	✅ 需要	—
Windows 11	23H2	✅	❌	File Explorer / Windows Shell + libarchive	Build 23493 預覽版；正式於 23H2 時代提供	❌ 解壓不用	Microsoft Windows Insider：Build 23493
Windows 11	24H2	✅	❌	File Explorer	23H2 延續	❌ 解壓不用	Windows 11 版本資訊
Windows 11	25H2	✅	❌	File Explorer	23H2 延續	❌ 解壓不用	Windows 11 版本資訊
Windows 11	26H1	✅	❌	File Explorer	23H2 延續	❌ 解壓不用	Windows 11 版本資訊
Windows Server 2019	1809 / Build 17763	❌	❌	無	—	✅ 需要	Windows Server 版本資訊
Windows Server 2022	Build 20348	❌	❌	無	—	✅ 需要	Windows Server 版本資訊
Windows Server 2025	Build 26100	❌	❌	Compress to 支援 ZIP / 7z / TAR，但不包括 RAR	Server 2025 新增	✅ RAR 仍需要	Windows Server 2025 新功能

(完)

[研究]比較 VMware Tools 和 Open VM Tools

[研究]比較 VMware Tools 和 Open VM Tools 

2026-08-27

可以把它理解成：

VMware Tools = VMware 官方完整工具套件

Open VM Tools（open-vm-tools）= VMware Tools 的開源版本，Linux 尤其常用

兩者都主要是讓「Guest OS（例如 Ubuntu）」與「VMware Workstation/ESXi」更好地整合。

比較項目	VMware Tools	Open VM Tools
開發者	VMware/Broadcom	VMware 主導的開源專案
授權	VMware 授權	Open Source
主要平台	Windows、Linux 等	Linux/Unix 為主
Ubuntu 26.04	⚠️ 通常不建議自行裝傳統 VMware Tools	✅ 建議使用
Windows Guest	✅ 首選	❌ 不適合
Linux Guest	可用	✅ 通常首選
VMware Workstation	✅ 支援	✅ 支援
VMware ESXi	✅ 支援	✅ 支援
VMware Tools GUI	較完整	通常沒有傳統 GUI
Shared Folders	✅	✅ open-vm-tools-desktop + vmhgfs 相關功能
Copy/Paste	✅	✅ 通常需要 open-vm-tools-desktop
Drag & Drop	部分環境支援	⚠️ 功能/環境限制較多
時間同步	✅	✅
Guest shutdown/reboot	✅	✅
網路整合	✅	✅
滑鼠整合	✅	✅
顯示整合	完整	Linux 桌面通常搭配 open-vm-tools-desktop
更新方式	VMware Tools 安裝程式/VMware	Ubuntu apt 套件管理
Ubuntu 官方套件庫	—	✅
維護便利性	中	高
Ubuntu Server	可用	非常適合
Ubuntu Desktop	可用	推薦
Ubuntu 26.04 LTS	不優先	推薦

Linux Guest 建議使用  Open VM Tools。

Windows Guest 建議使用 VMware Tools，不是 Open VM Tools。

(完)

[研究]VMware Workstation Pro 於 Ubuntu 26.04 VM 安裝 Open VM Tools方法

[研究]VMware Workstation Pro 於 Ubuntu 26.04 VM 安裝 Open VM Tools方法

2026-08-27

對 VMware Workstation Pro + Ubuntu 26.04 Desktop，目前最推薦的方法其實不是從 VMware Workstation 的「Install VMware Tools」掛載 linux.iso，而是直接在 Ubuntu 使用 open-vm-tools。Broadcom/VMware 官方目前也明確建議 Linux Guest 優先使用 open-vm-tools。

Windows Guest 建議使用 VMware Tools，不是 Open VM Tools。

********************************************************************************

VMware Tools compatibility with guest operating systems

Linux

For Linux guest operating systems, VMware recommends the use of open-vm-tools, which is the open source implementation of VMware Tools.  More detailed information about open-vm-tools is available here:

對於 Linux 客戶作業系統，VMware 建議使用 open-vm-tools，它是 VMware Tools 的開源實作。有關 open-vm-tools 的更多詳細信息，請訪問此處：

VMware 對 open-vm-tools 的支援 (broadcom.com)
https://knowledge.broadcom.com/external/article/313456

VMware / open-vm-tools
https://github.com/vmware/open-vm-tools

VMware Tools 文件VMware Tools 管理
https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/tools/12-2-0/vmware-tools-administration-12-2-0.html

********************************************************************************

套件	用途
open-vm-tools	VMware Tools 核心功能、vmtoolsd、Guest/Host 整合
open-vm-tools-desktop	Desktop GUI 額外功能，例如自動調整解析度、剪貼簿等

* 安裝

sudo apt update -y
sudo apt install -y open-vm-tools open-vm-tools-desktop
reboot

如果你的 Ubuntu 26.04 是 Server、沒有 GNOME/GUI，不需要 open-vm-tools-desktop 套件。

* 確認套件

dpkg -l | grep open-vm-tools

sudo dpkg -s  grep open-vm-tools

* 確認版本

vmware-toolbox-cmd   -v

* 確認 VMware Tools Service

systemctl status open-vm-tools

(完)

[研究]OSSEC 和 Wazuh 演變關係？

[研究]OSSEC 和 Wazuh 演變關係？

2026-08-27

1. OSSEC 與 Wazuh 的演變關係

OSSEC (原始 HIDS 專案) │ │ 2015 ▼ Wazuh (OSSEC Fork) │ ┌─────────┴──────────┐ │ │ Wazuh Agent Wazuh Manager │ │ └──────────┬─────────┘ ▼ Wazuh Platform SIEM + XDR + HIDS/FIM

Wazuh 是 OSSEC 的 fork，不是 OSSEC 的下一個版本。 Wazuh 團隊在 2015 年從 OSSEC fork 出來，最初保留大量 OSSEC 核心能力，之後逐漸加入自己的功能與架構。Wazuh 官方也明確稱它是 OSSEC fork。

2. 還有另一條重要分支：Atomic OSSEC

OSSEC │ ┌─────────────┴─────────────┐ │ │ Wazuh（2015） Atomic OSSEC │ │ Open Source 商業產品 │ SIEM / XDR / HIDS FIM / Log / EDR-like

OSSEC 目前仍然存在，而且官方網站目前仍把它定位為免費、開源 HIDS；Atomicorp 則在 OSSEC 基礎上推出 Atomic OSSEC 商業增強版。

https://www.ossec.net/

3. 三者比較

項目	OSSEC	Wazuh	Atomic OSSEC
關係	原始專案	OSSEC fork	OSSEC 商業增強版
起源	2004 年左右	2015 fork	Atomicorp 擴充 OSSEC
授權	GPLv2	GPLv2 / Open Source	商業
HIDS	⭐⭐⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐⭐⭐
Log Analysis	✅	✅ 加強	✅ 加強
FIM 目錄/檔案監控	✅	✅ 加強	✅ 強
Windows Agent	✅	✅	✅
Linux Agent	✅	✅	✅
Active Response	✅	✅	✅
Rootkit Detection	✅	✅	✅
Vulnerability Detection	較有限	✅	✅
Compliance	✅	✅ 強化	✅ 強化
Web GUI	較弱/非核心	✅	✅
REST API	較有限	✅	✅
SIEM	❌ 傳統 HIDS	✅	✅
XDR	❌	✅	✅
EDR 能力	❌/有限	部分 EDR/XDR 能力	較完整
Cloud Security	有限	✅	✅
Container Security	有限	✅	✅
適合新建環境	△	◎	◎
免費	✅	✅	❌

Wazuh 後來加入 Elastic Stack、OpenSCAP、API、較強的 JSON/log processing，以及逐漸發展成 SIEM/XDR 平台；Wazuh 官方在 4.x 時已明確將產品定位為統一的 SIEM/XDR 平台。

https://wazuh.com/blog/introducing-wazuh-4-3-0/

(完)

[研究]何謂FIM？

[研究]何謂FIM？

2026-08-27

FIM = File Integrity Monitoring（檔案完整性監控）。

簡單說，就是持續監控重要檔案／目錄有沒有被新增、修改、刪除或異常變更，一旦發現變化就產生告警。

1. FIM 主要監控什麼？

事件	範例
新增檔案	Hacker 在 IIS Web 目錄放入 shell.aspx
修改檔案	web.config 被修改
刪除檔案	正式環境的 .dll 被刪除
檔名變更	app.dll → app_old.dll
權限變更	檔案 ACL 被修改
檔案 Hash 改變	xxx.exe 的 SHA-256 改變
目錄變更	Web 根目錄突然出現新的子目錄
內容變更	程式碼或設定檔被偷偷修改

2. FIM 的核心概念

例如正式機有：

D:\WebApp\

 ├─ Web.config

 ├─ Login.aspx

 ├─ bin\

 │   ├─ System.dll

 │   └─ MyApp.dll

 └─ Upload\

FIM 可以先建立「基準狀態」：

Web.config   SHA-256 = ABC123...

Login.aspx   SHA-256 = DEF456...

MyApp.dll    SHA-256 = 789XYZ...

之後定期或即時檢查。

如果駭客把：Web.config

修改成：Web.config   SHA-256 = QQQ999...

FIM 就可以產生：⚠️ File Integrity Violation：Web.config modified

3. FIM ≠ EDR

能力	FIM	EDR
監控檔案新增	✅	✅
監控檔案修改	✅	✅
監控檔案刪除	✅	✅
Hash 驗證	✅	✅
監控目錄	✅	部分
程序監控	❌/有限	✅
Process Tree	❌	✅
Command Line	❌/有限	✅
網路連線關聯	❌	✅
偵測惡意程式行為	有限	✅
IOC 搜尋	通常有限	✅
Incident Response	❌	✅

FIM 的重點是「檔案有沒有變」；EDR 的重點是「電腦發生了什麼攻擊／行為」。

(完)

[研究]Windows 11/2019/2022/2025 是否有 3.5mm 或 USB 耳機麥克風驅動程式 driver ?

[研究]Windows 11/2019/2022/2025 是否有 3.5mm 或 USB 耳機麥克風驅動程式 driver ?  

2026-08-27

先講結論

Windows	3.5mm 耳機＋麥克風	USB 耳機＋麥克風	是否通常需要另外安裝 Driver
Windows 11	✅ 支援	✅ 支援	3.5mm：通常需要音效晶片 Driver；USB：通常不用
Windows Server 2019	✅ 支援	✅ 支援	3.5mm：通常需要音效晶片 Driver；USB：通常不用
Windows Server 2022	✅ 支援	✅ 支援	3.5mm：通常需要音效晶片 Driver；USB：通常不用
Windows Server 2025	✅ 支援	✅ 支援	3.5mm：通常需要音效晶片 Driver；USB：通常不用

不過有一個非常重要的差異：

1. 3.5mm 耳機麥克風

3.5mm 本身不是一種 USB 那樣的「標準裝置類別」，它只是類比音訊接頭。

例如：

3.5mm TRRS 耳麥 │ ▼ 主機板 / 筆電 Audio Codec │ ▼ Realtek / Intel / AMD 等 Audio Driver │ ▼ Windows Audio

所以是否能正常使用，主要取決於：

• 主機板 Audio Codec
• Realtek / Conexant / Cirrus Logic 等音效晶片
• OEM Driver
• Windows Audio 元件

例如 PC 主機板常見：Realtek High Definition Audio

這種情況通常會安裝 Realtek 的 Driver，而不是 Windows 單純靠一個「3.5mm Headset Driver」。

2. USB 耳機麥克風

這個反而比較簡單。

如果 USB 耳麥符合 USB Audio Class 標準，Windows 本身就有內建 Driver。

Microsoft 官方文件明確指出：

• USB Audio Class 1.0 → usbaudio.sys
• USB Audio Class 2.0 → usbaudio2.sys

而且從 Windows 10 1703 開始，Windows 已經內建 USB Audio 2.0 Driver。

也就是：

USB 耳機麥克風 │ ▼ USB Port │ ▼ Windows USB Audio Class Driver │ ├── 耳機 Speaker │ └── 麥克風 Microphone

所以一般 USB 耳麥：

插上 USB → Windows 自動偵測 → 耳機與麥克風都可以出現

通常不需要另外下載 Driver。

Microsoft 也明確說明，USB 裝置類別 Driver 已包含在 Windows 中，通常不需要自行下載。

https://learn.microsoft.com/zh-tw/windows-hardware/drivers/usbcon/supported-usb-classes

https://learn.microsoft.com/en-us/windows-hardware/drivers/usbcon/supported-usb-classes

3. USB 耳麥的兩種 Driver

類型	Windows Driver	說明
USB Audio Class 1.0	usbaudio.sys	舊/一般 USB Audio
USB Audio Class 2.0	usbaudio2.sys	現代 USB Audio
廠商專用 Driver	廠商提供	Logitech、Razer、SteelSeries、FOXXRAY 等可能提供
7.1 / 虛擬環繞音效	廠商 Driver / App	常常需要額外軟體

尤其要注意：

USB 耳機「可以出聲」≠ 一定具備廠商完整功能。

例如 USB 7.1 Gaming Headset：

Windows 內建 Driver ↓ 耳機 ✅ 麥克風 ✅ 音量控制 ✅ ↓ 但可能沒有： 7.1 虛擬環繞音效 ❌ EQ ❌ RGB ❌ Macro ❌ Noise Reduction ❌

4. Windows Server 2019 / 2022 / 2025 要特別注意

這裡是你這個問題最值得注意的地方。

「Windows 支援 USB Audio」和「Windows Server 預設啟用完整桌面音效環境」是兩回事。

例如 Windows Server 安裝後，可能需要確認：

Windows Audio Windows Audio Endpoint Builder

服務是否正常。

Microsoft 的 USB Audio 疑難排解文件也指出，USB Audio 要正常工作，需要這兩個 Audio Service 正常運作。

所以在 Server：

USB 耳麥 ↓ USB Audio Driver ↓ Windows Audio Endpoint Builder ↓ Windows Audio ↓ 應用程式

如果 Audio Service 沒有正常運作，即使 Driver 已經存在，耳機/麥克風仍可能不能使用。

5. 你如果是要買 USB 耳麥，我反而比較推薦 USB

如果你的目標是：

Windows 11 + Windows Server 2019/2022/2025 都能使用的大耳罩、有線耳機麥克風

我會優先選：

🥇 USB 耳麥

項目	3.5mm	USB
Windows 11	✅	✅
Server 2019	✅	✅
Server 2022	✅	✅
Server 2025	✅	✅
即插即用	△	✅
需要 Realtek Driver	通常是	❌ 通常不需要
麥克風	✅	✅
耳機	✅	✅
左右聲道	✅	✅
音量控制	△	✅ 常見
廠商 7.1	❌/△	✅ 部分支援
適合 Server 多機部署	△	✅

(完)

[研究]Watch 4 Folder v2.5.1目錄監控軟體

[研究]Watch 4 Folder v2.5.1目錄監控軟體

2026-08-27

https://www.softpedia.com/get/System/File-Management/Watch4Folder.shtml

W4F25Install.exe，2.13 MB (2,235,662 位元組)

最後更新 Aug 28,2013

自己沒有寄信能力，也無法用外部 Mail Server (SMTP Server) 寄信能力。

(完)

[研究]WatchFile目錄監控軟體

[研究]WatchFile目錄監控軟體

2026-08-27

https://sa103sa103.jimdofree.com/watchfile/

(完)

[研究]Nodesoft Folder Monitor 1.4.0.1 目錄監控軟體

[研究]Nodesoft Folder Monitor 1.4.0.1 目錄監控軟體

2026-08-27

https://www.nodesoft.com/foldermonitor

官方下載網頁有些畫面，自己測了一下，沒看到可以自己直接寄信or用外部信箱寄信功能。

(完)

[研究]Windows 上目錄監控軟體Freeware(可用外部寄信)

[研究]Windows 上目錄監控軟體Freeware(可用外部寄信)

2026-08-27

表格呈現，請推薦 Windows 上目錄監控軟體，Freeware，10個，單機orClient/Server架構、可用帳號/密碼/Postfix寄通知信，下載網址 ? 功能 ? 推薦評分(0~100) ? 推薦原因 ?      

ChatGPT

如果你的真正需求是「Windows Server 2019/2022/2025 監控指定目錄 → 偵測新增/修改/刪除 → 用 SMTP 帳號/密碼寄通知 → SMTP Server 是 Postfix」，那麼能夠「原生直接做到」的免費軟體其實不多；很多 freeware 只有監控功能，必須搭配 PowerShell / BAT / SMTP relay 寄信。

排名	軟體	Freeware	架構	目錄監控	Email	SMTP 帳號/密碼	Postfix	推薦分數	推薦原因
1	WatchFile	✅	單機	✅ 新增/修改/刪除/屬性等	✅ 原生	✅	✅	96	最符合你的需求；本身就有 SMTP Server、Port、SSL、使用者、密碼設定
2	Wazuh	✅ Open Source	Client/Server	✅ FIM、即時、Hash、Who-data	✅	⚠️ 建議透過 Postfix Relay	✅ 非常適合	95	偏資安/防駭用途；可以知道誰、哪個 Process 修改檔案
3	OSSEC	✅ Open Source	Client/Server	✅ FIM	✅	✅ 新版可 SMTP AUTH	✅	94	很適合正式 Server；File Integrity Monitoring 是核心功能
4	Directory Monitor Free	✅ Free	單機	✅ 即時	⚠️ Free 版有限制	⚠️ Email 為 PRO 功能	✅ 搭配 Script	90	Windows 目錄監控體驗很好，支援 Local/Network Share
5	FolderChangesView	✅ Freeware	單機	✅	⚠️ 需 Script	⚠️ 由 Script 負責	✅	89	NirSoft 經典工具，輕量、免安裝，可觸發外部程式
6	TheFolderSpy	✅ Freeware	單機	✅	✅ 原生	✅ Custom SMTP	✅	86	直接支援 Email + Custom SMTP，非常符合需求；但年代較久
7	Folder Monitor (Nodesoft)	✅ Freeware	單機	✅	⚠️ 需 Script	⚠️ 由 Script 負責	✅	84	極小、簡單，可監控 Local/Server Share，變更時執行命令
8	Watch 4 Folder	✅ Freeware	單機	✅	⚠️ 需 Script	⚠️ 由 Script 負責	✅	81	很輕量，支援多種 File/Folder Event，但軟體較舊
9	Free Folder Monitor	✅ Free	單機	✅ 即時	⚠️ 需 Script	⚠️ 由 Script 負責	✅	78	免費、可監控子目錄、可過濾事件；較適合一般監控
10	File Watcher	✅ MIT	單機/可作 Service	✅	⚠️ API/Script	⚠️ 由外部處理	✅	76	GitHub 開源，可監控新增/修改/刪除，可執行 Command，適合自行整合

下載網址

#	軟體	下載網址	來源	備註
1	WatchFile	WatchFile 官方頁面/下載	官方	頁面目前提供 2026/02/27 的 WatchFileLatest.zip，而且本身支援變更 Email 通知。(sa103sa103 ページ！)
2	Wazuh	Wazuh Windows Agent 官方下載說明	官方	Windows Agent；目前文件列出的版本為 4.14.7。(documentation.wazuh.com)
3	OSSEC	OSSEC 官方 Downloads	官方	OSSEC 目前官方頁面列出 4.2.0；Windows 是 Agent 架構。(ossec.net)
4	Directory Monitor	Directory Monitor 官方下載	官方	目前版本 2.17.0.0；提供 Installer、ZIP、Portable 等下載。(directorymonitor.com)
5	FolderChangesView	FolderChangesView 官方下載	官方 NirSoft	Freeware、免安裝；可監控新增/修改/刪除，也可監控 Network Share。(NirSoft)
6	TheFolderSpy	TheFolderSpy 下載資訊	第三方	老牌 freeware；支援 Email/Custom SMTP，但版本較舊，不建議直接上正式 Server。
7	Folder Monitor（Nodesoft）	Nodesoft Folder Monitor 官方下載	官方	完全免費，可監控 Local Drive、Server Share、多個位置，也可執行 Command。(nodesoft.com)
8	Watch 4 Folder	Watch 4 Folder Softpedia 下載	第三方	版本 2.5.1，年代較舊；可偵測事件並執行程式/BAT。(Softpedia)
9	Free Folder Monitor	Free Folder Monitor 官方網站/下載	官方	100% Free，可即時監控新增/修改/刪除等事件。(freefoldermonitor.com)
10	File Watcher	File Watcher GitHub 官方專案	GitHub 官方專案	MIT License；Windows/Linux/macOS，Portable，可執行 Command，也可以透過 NSSM 做成 Windows Service。(GitHub)

AI 說的未必對，實際測試，一些根本沒有寄信能力。

WatchFile下載失敗

Wazuh 和 OSSEC 在 Windows只是 Agent

Directory Monitor 以前有測試過
https://directorymonitor.com/download
Version: 2.17.0.0 (04 May 2026)
Languages: English, Chinese, Russian, Japanese, Polish, Turkish, Czech

[研究]FolderChangesView 2.35免費目錄監控軟體 (Freeware)
https://shaurong.blogspot.com/2024/04/folderchangesview-235-freeware.html

TheFolderSpy 下載失敗

Folder Monitor（Nodesoft）沒看到可以自己直接寄信or用外部信箱寄信功能。

Watch 4 Folder v2.5.1自己沒有寄信能力，也無法用外部 Mail Server (SMTP Server) 寄信能力。

Free Folder Monitor 在 Windows Server 2025 上安裝畫面會卡住不動。

(完)

[研究]Windows Server 2016/2019/2022/11 有藍牙 driver 嗎？

[研究]Windows Server 2016/2019/2022/11 有藍牙 driver 嗎？

2026-08-27

作業系統	Microsoft 內建 Bluetooth Stack/Driver	可使用 Bluetooth	備註
Windows 11	✅ 有	✅ 可以	原生支援 Bluetooth
Windows Server 2016	❌ 沒有	⚠️ 可透過第三方廠商 Driver	Microsoft 不提供 Server 原生 Bluetooth 支援
Windows Server 2019	❌ 沒有	⚠️ 可透過第三方廠商 Driver	同上
Windows Server 2022	❌ 沒有	⚠️ 可透過第三方廠商 Driver	同上

Microsoft 官方文件明確指出，Windows Server 所有 SKU 都沒有內建 Bluetooth wireless technology support，但硬體廠商（IHV）可以提供第三方 Bluetooth Driver。

你可能會看到 Microsoft 文件中有：Windows Server 2022 — Bluetooth Host Subsystem

這不代表 Server 2022 就像 Windows 11 一樣提供完整的使用者 Bluetooth 功能。Microsoft 的 Bluetooth 元件/Driver 架構文件確實列出 Server 2022 的 Bluetooth Host Subsystem，但 Windows Server 的產品層級仍沒有內建 Bluetooth wireless technology support。

Windows 11 中的藍牙版本和規範支援
https://learn.microsoft.com/zh-tw/windows-hardware/drivers/bluetooth/general-bluetooth-support-in-windows

Bluetooth 功能和 建議
https://learn.microsoft.com/zh-tw/windows-hardware/design/component-guidelines/bluetooth

舊版 Windows 中的藍牙版本和設定檔支援
https://learn.microsoft.com/zh-tw/windows-hardware/drivers/bluetooth/bluetooth-support-in-previous-windows-versions

敝人註解：建議當作 Windows Server 無法使用藍芽設備，廠商不太可能好心特別做驅動程式 Driver，AI 常常說有其實沒有。

(完)

[研究]Windows 上目錄監控軟體(Freeware)

[研究]Windows 上目錄監控軟體(Freeware)

2026-08-26

表格呈現，請推薦 Windows 上目錄監控軟體，Freeware，10個，可寄通知信，網址 ? 功能 ? 推薦評分(0~100) ? 推薦原因 ?      

#	軟體	Freeware	Email	主要功能	推薦評分	推薦原因
1	TheFolderSpy	✅	✅ 內建	新增、修改、刪除、Rename、屬性、檔案大小、時間變更；多目錄；Log	92	免費版就能直接寄 Email，非常符合「目錄被改就通知」需求；免安裝、很輕量。缺點是年代較久遠
2	Automation Workshop – File & Folder Watcher Free	✅	✅ 內建	即時監控、新增/刪除/修改/Rename、Filter、子目錄、Email、Script、Copy/Move/Delete	91	功能非常完整，而且 Free Edition 可做 Email；可當成比較正式的自動化方案。官方資料指出可在未登入使用者時以 Service 工作。(自動化工作坊)
3	Directory Monitor	✅ Free 版	❌ Free版；PRO才有	即時監控、Local/Network Share、子目錄、Filter、Log、Script、通知	89	非常適合 Windows Server；可監控無限目錄、Network Share、CSV/Text Log。2026 年仍持續更新，且支援 Windows Server 2025。Email 是 PRO 功能，這點要特別注意。(目錄監控器)
4	FolderChangesView (NirSoft)	✅	⚠️ 外部 Script/SMTP	新增、修改、刪除、Rename、Network Share、Filter、CSV/XML/HTML、執行 Command	87	超輕量、免費、免安裝；可在事件發生時執行 Command，因此可以接 PowerShell 寄信。官方目前版本 2.37。(NirSoft)
5	Watch 4 Folder	✅	⚠️ 外部 Script/SMTP	12 種事件、建立/刪除/修改/Rename、Log、執行 EXE/BAT、Popup	82	老牌、非常小、簡單；Free 版可監控 1 個 Folder，發生事件可以執行程式，再透過 SMTP 工具寄信。(Portable Freeware)
6	Folder Monitor	✅	⚠️ 外部 Script/SMTP	新增、修改、Rename、刪除、Local/Server Share、多目錄、Log、聲音/視覺通知	80	很簡單、資源占用低，而且可監控 Server Share；適合單純偵測檔案異動。(MajorGeeks)
7	File & Folder Watcher / Automation Workshop Free	✅	✅	即時 FileSystem 監控、Filter、子目錄、Email、附件、Script、Copy/Move/Delete	79	如果需要「監控 → 發現檔案 → 寄信 → 自動處理檔案」，功能很完整；Free Edition 就包含 File & Folder Watcher。(自動化工作坊)
8	File Watcher（TechieGuy12）	✅ MIT	⚠️ API/Webhook	建立、修改、刪除、Filter、Exclude、Log、Command、API Notification、Copy/Move/Delete	76	開源、跨 Windows/Linux/macOS、資源低；可用 API/Webhook 接 Email 系統。比較適合 IT/DevOps。(GitHub)
9	FileActivityWatch (NirSoft)	✅	⚠️ 外部 Script	Read/Write/Delete、Process、PID、讀寫 Bytes、時間、報表	74	如果你不只想知道「檔案改了」，還想知道 哪個 Process 讀/寫/刪除檔案，它非常有價值；但不是傳統 Email Folder Monitor。(NirSoft)
10	DiskPulse Free	✅ Free 版	❌ 多數 Email 功能需付費版	即時 Disk/File Change、Filter、統計、報表、檔案變更分析	70	監控與分析能力不錯，但如果你的核心要求是「免費 Email」，不是首選；Email 功能主要在 Pro/付費功能。(Scribd)

網址

軟體	網址
TheFolderSpy	TheFolderSpy 資訊/下載頁
Automation Workshop / File & Folder Watcher	Automation Workshop File & Folder Watcher
Directory Monitor	Directory Monitor 官方下載
FolderChangesView	NirSoft FolderChangesView 官方網站
Watch 4 Folder	Watch 4 Folder 免費資訊頁
Folder Monitor	Folder Monitor 下載資訊
File Watcher	File Watcher GitHub
FileActivityWatch	NirSoft FileActivityWatch 官方網站
DiskPulse	DiskPulse 資訊

(完)