14
Evidence-led Debugging / Windows 证据链排障
用 PowerShell 建立可观察性
将系统状态、进程、设备、网络和日志收集为可重复执行的只读检查。
好的诊断脚本首先应安全、可重复、可比较，而不是一次性输出海量信息。
01
先问清楚
- 哪些指标与症状直接相关？
- 输出能否与昨天比较？
- 命令是否会改变系统？
02
实践框架
- 1限定只读范围
- 2采集基线
- 3结构化输出
- 4标注异常阈值
- 5生成差异报告
03
验收证据
- 脚本版本
- CSV/JSON 快照
- 采集时间
- 错误处理
- 基线差异
04
常见失误
- 管理员权限滥用
- 日志含隐私
- 采集频率过高
- 输出太大无法解释