PowerShell Logging: איך מזהים פעילות חשודה

PowerShell Operational log

הנושא 'PowerShell Operational log' הוא חלק מרכזי בעבודה על PowerShell Logging. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line ו-parent process, AMSI/EDR context, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Script Block ו-Module Logging

בשלב זה מגדירים אילו ראיות דרושות כדי לענות על שאלת החקירה. עבור PowerShell Logging, נקודות הבסיס הן Event ID וה-Provider, Computer, User ו-Logon ID, Process, Parent ו-Command Line, Source IP, Workstation ו-Logon Type. לכל מקור מתעדים בעלים, טווח שמירה, אזור זמן, עיכוב קליטה ושדות שעלולים להיות חסרים.

איכות איסוף אינה נמדדת בכך שהלוג 'מגיע'. יש לבדוק Completeness, Latency, Parsing, Duplicate events וסנכרון זמן. בדיקת Canary או אירוע מעבדה ידוע מאפשרת לוודא שהפעולה הופיעה במקור, עברה את ה-Pipeline וניתנת לחיפוש בשדות הנכונים.

Transcription ו-4688/Sysmon

הנושא 'Transcription ו-4688/Sysmon' הוא חלק מרכזי בעבודה על PowerShell Logging. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line ו-parent process, AMSI/EDR context, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

דפוסי חקירה

חקירה של PowerShell Logging מתחילה בניסוח Hypothesis: איזו התנהגות מסבירה את הממצא, ואילו ראיות יאשרו או יפריכו אותה. לאחר מכן מרחיבים חלון זמן, מאמתים את הישויות ומחפשים רצף לפני ואחרי האירוע.

קורלציה טובה משלבת לפחות שני סוגי מידע מתוך Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line ו-parent process, AMSI/EDR context. לכל ממצא מציינים מה הוא מוכיח, מה הוא אינו מוכיח ומהו הצעד הבא. אם הנתונים אינם מספיקים, מסמנים Unknown ולא הופכים היעדר ראיה לראיה להיעדר.

Tuning לפעילות אדמין

שיפור PowerShell Logging חייב להתחיל ב-Baseline. מודדים נפח, שיעור מקרים שימושיים, זמן חקירה, מקורות חסרים והסיבה לסגירה. שינוי שמקטין Alerts אך מסתיר פעילות אמיתית אינו הצלחה.

אפשרויות Tuning כוללות סף, חלון זמן, Allowlist ממוקדת, Context של נכס, Suppression וחריג מבוסס תהליך מאושר. כל חריג צריך בעלים, תוקף ותנאי ביטול. לאחר השינוי מריצים Test corpus ומשווים לפני/אחרי.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line ו-parent process, AMSI/EDR context. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• Event 4104 Script Block Logging: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Event 4103 Module Logging: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Operational channel: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Command line ו-parent process: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• AMSI/EDR context: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא PowerShell Logging.
2. רשמו את מקורות הנתונים והראיות הדרושים: Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line ו-parent process.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא חקירת סקריפט מדומה שמוריד קובץ במעבדה. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: Event ID וה-Provider.
• ✓בדקו ותעדו: Computer, User ו-Logon ID.
• ✓בדקו ותעדו: Process, Parent ו-Command Line.
• ✓בדקו ותעדו: Source IP, Workstation ו-Logon Type.
• ✓בדקו ותעדו: Group/Privilege changes.
• ✓בדקו ותעדו: Sysmon ProcessGuid או SessionGuid.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• להסתמך על Event ID בלי שדות.
• לבלבל בין Logon למקור התקיפה.
• להתעלם מ-Logon Type.
• לקשר Processes לפי PID בלבד.
• להניח שכל PowerShell הוא זדוני.
• לסגור אירוע בלי לבדוק Domain Controller.

סיכום ו-CTA

PowerShell Logging: איך מזהים פעילות חשודה הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• Microsoft Learn — about PowerShell logging
• Microsoft Learn — Windows security auditing
• Microsoft Learn — Sysmon events
• Microsoft Sysinternals — Sysmon
• Microsoft Learn — Entra sign-in logs