Top Comandos PowerShell Windows Server: Guia Prático para Sysadmin

Listar serviços e filtrar por status:

Get-Service | Where-Object { $_.Status -eq 'Stopped' -and $_.StartType -eq 'Automatic' }

Esse pipeline mostra serviços configurados como automáticos mas que estão parados — um dos primeiros sinais de problema em um servidor recém-iniciado. A propriedade StartType só vem no PowerShell 5.1+ direto no Get-Service.

Iniciar, parar e reiniciar um serviço:

Start-Service -Name 'W3SVC'
Stop-Service -Name 'W3SVC' -Force
Restart-Service -Name 'W3SVC'

Use -Force em Stop-Service quando o serviço tem dependentes — sem isso, PowerShell pede confirmação para parar a cadeia inteira.

Auditar binário e conta de logon de um serviço (útil em revisão de segurança):

Get-CimInstance Win32_Service -Filter "Name='Spooler'" |
  Select-Object Name, PathName, StartName, State, ProcessId

PathName revela se o serviço aponta para binário suspeito (C:\Users\* ou diretório temporário são red flags). StartName mostra a conta que executa — contas com privilégio excessivo em serviços de terceiros são vetores comuns de escalação.

Top 10 processos por uso de memória:

Get-Process |
  Sort-Object -Property WorkingSet64 -Descending |
  Select-Object -First 10 Name, Id,
    @{n='RAM_MB';e={[math]::Round($_.WorkingSet64/1MB,1)}},
    @{n='CPU_s';e={[math]::Round($_.CPU,1)}}

WorkingSet64 é a memória física residente — o número que importa quando o servidor está sob pressão de RAM. A propriedade CPU acumula segundos de processador desde o início do processo, então um número alto pode ser processo legítimo de longa duração, não necessariamente problema.

Matar processo travado por nome ou PID:

Stop-Process -Name 'notepad' -Force
Stop-Process -Id 4242 -Force

Últimos 20 erros do log System nas últimas 24h:

$ontem = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{
  LogName   = 'System'
  Level     = 2
  StartTime = $ontem
} -MaxEvents 20 | Format-Table TimeCreated, Id, ProviderName, Message -Wrap

Level 2 é Error. Use 3 para Warning e 4 para Information. O hashtable é processado server-side, então funciona bem mesmo em logs com milhões de eventos.

Buscar tentativas de logon falhadas (Event ID 4625 do Security log):

Get-WinEvent -FilterHashtable @{
  LogName = 'Security'
  Id      = 4625
  StartTime = (Get-Date).AddHours(-6)
} | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}},
                  @{n='IP';e={$_.Properties[19].Value}}

Event ID 4625 é o evento canônico de logon falho. Em servidor exposto à internet (RDP, SSH, OWA), essa query revela bruteforce em andamento. Se o volume está alto, configure bloqueio por conta com Account Lockout Policy ou um sistema de IP banning.

Inventário rápido de IPs e gateways:

Get-NetIPConfiguration |
  Where-Object { $_.NetAdapter.Status -eq 'Up' } |
  Format-Table InterfaceAlias, IPv4Address, IPv4DefaultGateway, DNSServer

Mostra só interfaces ativas. Para mexer em uma específica:

Get-NetAdapter -Name 'Ethernet0' | Format-List Name, MacAddress, LinkSpeed, Status

Configurar IP estático e DNS:

New-NetIPAddress -InterfaceAlias 'Ethernet0' `
  -IPAddress '10.0.0.50' -PrefixLength 24 -DefaultGateway '10.0.0.1'

Set-DnsClientServerAddress -InterfaceAlias 'Ethernet0' `
  -ServerAddresses '1.1.1.1','8.8.8.8'

Listar conexões TCP ativas com PID e processo:

Get-NetTCPConnection -State Listen |
  Select-Object LocalAddress, LocalPort,
    @{n='Process';e={(Get-Process -Id $_.OwningProcess).Name}} |
  Sort-Object LocalPort

Substitui netstat -ano com a vantagem de já trazer o nome do processo. Use para auditar quais portas estão abertas e quem está escutando.

Criar usuário, definir senha e habilitar:

$senha = Read-Host -AsSecureString 'Senha inicial'
New-ADUser -Name 'João Silva' -SamAccountName 'jsilva' `
  -UserPrincipalName '[email protected]' `
  -AccountPassword $senha -Enabled $true `
  -ChangePasswordAtLogon $true -Path 'OU=Usuarios,DC=empresa,DC=local'

Read-Host -AsSecureString evita a senha vazar no histórico do PowerShell. ChangePasswordAtLogon $true força troca no primeiro acesso, prática recomendada para qualquer conta provisionada.

Encontrar contas inativas há mais de 90 dias (candidatos a desativação):

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
  Select-Object Name, SamAccountName, LastLogonDate, Enabled |
  Sort-Object LastLogonDate

Esse comando é gold para higiene de AD. Contas inativas são vetor de comprometimento porque ninguém percebe se forem reativadas maliciosamente.

Agendar um script de manutenção para rodar todo dia às 3h:

$action = New-ScheduledTaskAction -Execute 'powershell.exe' `
  -Argument '-NoProfile -ExecutionPolicy Bypass -File C:\scripts\manutencao.ps1'

$trigger = New-ScheduledTaskTrigger -Daily -At 3am

$principal = New-ScheduledTaskPrincipal -UserId 'SYSTEM' `
  -LogonType ServiceAccount -RunLevel Highest

$settings = New-ScheduledTaskSettingsSet -StartWhenAvailable `
  -DontStopOnIdleEnd -ExecutionTimeLimit (New-TimeSpan -Hours 2)

Register-ScheduledTask -TaskName 'Manutencao_Diaria' `
  -Action $action -Trigger $trigger -Principal $principal -Settings $settings

-NoProfile evita carregar perfis de usuário (que podem demorar segundos). -StartWhenAvailable garante que a task roda quando o servidor volta de downtime, mesmo que tenha perdido o horário programado.