PowerShell Logging: Как обнаружить подозрительную активность

Операционный журнал PowerShell

Тема 'Операционный журнал PowerShell' является центральной частью работы с PowerShell Logging. Рекомендуется разбить ее на три вопроса: что является вводом, какое решение вы хотите принять и какие доказательства достаточны для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line и parent process, AMSI/EDR context, сравните с ожидаемым поведением и определите хотя бы один Pivot. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

Script Block и Module Logging

На этом этапе определяются необходимые доказательства для ответа на исследовательский вопрос. Для PowerShell Logging базовыми точками являются Event ID и Provider, Computer, User и Logon ID, Process, Parent и Command Line, Source IP, Workstation и Logon Type. Для каждого источника документируются владелец, срок хранения, часовой пояс, задержка получения и поля, которые могут отсутствовать.

Качество сбора не измеряется тем, что лог 'приходит'. Необходимо проверять Completeness, Latency, Parsing, Duplicate events и синхронизацию времени. Проверка Canary или известное лабораторное событие позволяет убедиться, что операция появилась в источнике, прошла Pipeline и доступна для поиска по правильным полям.

Транскрипция и 4688/Sysmon

Тема 'Транскрипция и 4688/Sysmon' является центральной частью работы с PowerShell Logging. Рекомендуется разбить ее на три вопроса: что является вводом, какое решение вы хотите принять и какие доказательства достаточны для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line и parent process, AMSI/EDR context, сравните с ожидаемым поведением и определите хотя бы один Pivot. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

Схемы исследования

Исследование PowerShell Logging начинается с формулирования гипотезы: какое поведение объясняет находку и какие доказательства подтвердят или опровергнут ее. Затем расширяется временное окно, проверяются сущности и ищется последовательность до и после события.

Хорошая корреляция объединяет как минимум два типа информации из Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line и parent process, AMSI/EDR context. Для каждой находки указывается, что она доказывает, что не доказывает и каков следующий шаг. Если данных недостаточно, указывается Unknown и отсутствие доказательств не превращается в доказательство отсутствия.

Настройка для админской активности

Улучшение PowerShell Logging должно начинаться с Baseline. Измеряется объем, доля полезных случаев, время расследования, отсутствующие источники и причина закрытия. Изменение, которое уменьшает Alerts, но скрывает реальную активность, не является успехом.

Варианты настройки включают порог, временное окно, целевой Allowlist, Context актива, Suppression и утвержденное исключение на основе процесса. Каждое исключение должно иметь владельца, срок действия и условие отмены. После изменения запускается Test corpus и сравниваются результаты до/после.

Уникальные точки проверки

По этой теме рекомендуется заранее составить целевую карту доказательств. Основными точками проверки являются: Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line и parent process, AMSI/EDR context. Список не является автоматическим Checklist; каждый элемент выбран потому, что он может связать сущность, действие и время или объяснить легитимное поведение.

• Event 4104 Script Block Logging: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• Event 4103 Module Logging: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• Operational channel: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• Command line и parent process: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• AMSI/EDR context: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.

Если один из пунктов недоступен, необходимо задокументировать пробел и выбрать альтернативу. Например, если Process identifier нестабилен, можно использовать время, Host, User и Parent; если Payload зашифрован, используются Metadata, объем, частота и TLS/DNS context.

Рекомендуемый рабочий процесс

1. Определите Scope и один рабочий вопрос по теме PowerShell Logging.
2. Запишите источники данных и необходимые доказательства: Event 4104 Script Block Logging, Event 4103 Module Logging, Operational channel, Command line и parent process.
3. Создайте короткий Baseline нормального поведения или ожидаемого результата.
4. Выполните минимальную проверку в лабораторной среде и сохраните время, ввод и вывод.
5. Постройте Timeline или сравнительную таблицу и отделите факты от интерпретации.
6. Выполните Pivot к дополнительному источнику, чтобы подтвердить или опровергнуть первоначальное объяснение.
7. Сформулируйте решение, ограничения, рекомендуемое действие и критерий Retest.

Практический сценарий

Выбранный сценарий – исследование имитирующего скрипта, загружающего файл в лаборатории. Цель упражнения не в том, чтобы доказать возможность атаки, а в том, чтобы отработать сбор, сравнение и документирование безопасным способом. Перед началом работы определяются имитированные данные, временное окно и ожидаемый результат.

По завершении упражнения необходимо предоставить результат, который может быть проанализирован другим аналитиком или проверяющим: снимок экрана или экспорт доказательства, короткий Timeline, первоначальное предположение, подтверждающее доказательство, ограничение и рекомендация. Если доказательств недостаточно, правильный вывод – сценарий не доказан.

Практический контрольный список

• ✓Проверьте и задокументируйте: Event ID и Provider.
• ✓Проверьте и задокументируйте: Computer, User и Logon ID.
• ✓Проверьте и задокументируйте: Process, Parent и Command Line.
• ✓Проверьте и задокументируйте: Source IP, Workstation и Logon Type.
• ✓Проверьте и задокументируйте: Group/Privilege changes.
• ✓Проверьте и задокументируйте: Sysmon ProcessGuid или SessionGuid.
• ✓Укажите Time zone, версию инструмента и время сбора.
• ✓Сохраните необработанные данные перед фильтрацией или изменением.
• ✓Напишите, что находка доказывает и что до сих пор неизвестно.
• ✓Определите владельца и дальнейшие действия с датой.

Распространенные ошибки

• Полагаться на Event ID без полей.
• Путать Logon с источником атаки.
• Игнорировать Logon Type.
• Связывать Processes только по PID.
• Предполагать, что любой PowerShell является вредоносным.
• Закрывать событие без проверки Domain Controller.

Заключение и призыв к действию

PowerShell Logging: Как обнаружить подозрительную активность – это тема, которая объединяет технические знания с дисциплиной работы. Начните с вопроса, собирайте только релевантные доказательства, сохраняйте контекст и время, и выбирайте действие, которое можно обосновать и перепроверить.

В рамках программы Cybersecurity & AI от HPI эти принципы отрабатываются с использованием систем, логов и лабораторных работ. Естественным продолжением является переход к связанным статьям, выполнение лабораторного упражнения и сохранение результата как части профессионального портфолио.

Вопросы и ответы