পাওয়ারশেল ব্যবহার করে ঘটনার তথ্য সংগ্রহ করা

PowerShell একটি মোটামুটি সাধারণ অটোমেশন টুল যা প্রায়শই ম্যালওয়্যার বিকাশকারী এবং তথ্য নিরাপত্তা বিশেষজ্ঞ উভয়ই ব্যবহার করে।
এই নিবন্ধটি তথ্য সুরক্ষার ঘটনাগুলির প্রতিক্রিয়া জানাতে শেষ ডিভাইসগুলি থেকে ডেটা সংগ্রহের জন্য PowerShell-এর ব্যবহার বিবেচনা করবে৷ এটি করার জন্য, আপনাকে একটি স্ক্রিপ্ট লিখতে হবে যা শেষ ডিভাইসে চলবে এবং তারপরে এই স্ক্রিপ্টের একটি বিশদ বিবরণ থাকবে।

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

শুরু করতে, একটি ফাংশন তৈরি করুন CSIRT এক্সটেনশন, যা একটি যুক্তি গ্রহণ করবে - প্রাপ্ত ডেটা সংরক্ষণ করার পথ। বেশিরভাগ cmdlets Powershell v5-এ কাজ করার কারণে, সঠিক অপারেশনের জন্য PowerShell সংস্করণের একটি চেক করা হয়েছে।

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

তৈরি করা ফাইলগুলির মাধ্যমে নেভিগেশন সহজ করার জন্য, দুটি ভেরিয়েবল শুরু করা হয়েছে: $date এবং $Computer, যা কম্পিউটারের নাম এবং বর্তমান তারিখ নির্ধারণ করা হবে।

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

আমরা বর্তমান ব্যবহারকারীর পক্ষ থেকে চলমান প্রক্রিয়াগুলির তালিকাটি নিম্নরূপ পাই: $process ভেরিয়েবলটিকে win32_process ক্লাসের সাথে get-ciminstance cmdlet বরাদ্দ করে তৈরি করুন। সিলেক্ট-অবজেক্ট সিএমডিলেট ব্যবহার করে, আপনি অতিরিক্ত আউটপুট প্যারামিটার যোগ করতে পারেন, আমাদের ক্ষেত্রে, এগুলি হবে প্যারেন্টপ্রসেসিড (পিপিআইডি প্যারেন্ট প্রসেস আইডি), ক্রিয়েশন ডেট (প্রসেস তৈরির তারিখ), প্রসেসড (পিআইডি প্রসেস আইডি), প্রসেসনেম (প্রসেস নেম), কমান্ডলাইন। (স্টার্ট কমান্ড)।

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

সমস্ত TCP এবং UDP সংযোগের একটি তালিকা পেতে, $netTCP এবং $netUDP ভেরিয়েবলগুলিকে যথাক্রমে Get-NetTCPConnection এবং Get-NetTCPConnection cmdlets বরাদ্দ করে তৈরি করুন।

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

নির্ধারিত কাজ এবং কাজের তালিকা জানা গুরুত্বপূর্ণ হবে। এটি করার জন্য, আমরা get-ScheduledTask এবং Get-ScheduledJob cmdlets ব্যবহার করি। চলুন তাদের ভেরিয়েবল নির্ধারণ করা যাক $task এবং $job, কারণ প্রাথমিকভাবে, সিস্টেমে অনেকগুলি নির্ধারিত কাজ রয়েছে, তারপরে দূষিত কার্যকলাপ সনাক্ত করার জন্য, বৈধ নির্ধারিত কাজগুলি ফিল্টার করা মূল্যবান। সিলেক্ট-অবজেক্ট cmdlet আমাদের এতে সাহায্য করবে।

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

এনটিএফএস ফাইল সিস্টেমে, বিকল্প ডেটা স্ট্রীম (অল্টারনেট ডেটা স্ট্রিম, এডিএস) হিসাবে একটি জিনিস রয়েছে। এর মানে হল যে NTFS-এ একটি ফাইলকে ইচ্ছাকৃত আকারের একাধিক ডেটা স্ট্রিমের সাথে আরও যুক্ত করা যেতে পারে। ADS এর মাধ্যমে, আপনি এমন ডেটা লুকাতে পারেন যা স্ট্যান্ডার্ড সিস্টেম চেক দ্বারা দৃশ্যমান হবে না। এটি দূষিত কোড ইনজেক্ট করতে পারে এবং/অথবা ডেটা লুকাতে পারে।

পাওয়ারশেলে বিকল্প ডেটা স্ট্রিম প্রদর্শন করতে, আমরা get-item cmdlet এবং বিল্ট-ইন টুল ব্যবহার করব। Windows সমস্ত সম্ভাব্য স্ট্রিম দেখতে * চিহ্নটি ব্যবহার করুন, এর জন্য আমরা $ADS নামে একটি ভেরিয়েবল তৈরি করব।

$ADS = get-item * -stream * | where stream –ne ':$Data' 

সিস্টেমে লগ ইন করা ব্যবহারকারীদের তালিকা জানার জন্য এটি উপযোগী হবে, এর জন্য আমরা একটি $user ভেরিয়েবল তৈরি করব এবং এটিতে quser প্রোগ্রামের এক্সিকিউশন নির্ধারণ করব।

$user = quser

সিস্টেমে পা রাখার জন্য, আক্রমণকারীরা অটোরানে পরিবর্তন করতে পারে। অটোপ্লেতে আইটেমগুলি দেখতে আপনি Get-ItemProperty cmdlet ব্যবহার করতে পারেন।
আসুন দুটি ভেরিয়েবল তৈরি করি: $runUser - ব্যবহারকারীর পক্ষে অটোলোড দেখতে এবং $runMachine - কম্পিউটারের পক্ষে অটোলোড দেখতে।

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

সমস্ত তথ্য বিভিন্ন ফাইলে লেখার জন্য, আমরা ভেরিয়েবল সহ একটি অ্যারে এবং ফাইলের নাম সহ একটি অ্যারে তৈরি করি।

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

এবং, একটি লুপ ব্যবহার করে, ফলস্বরূপ ডেটা ফাইলগুলিতে লেখা হবে।

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

স্ক্রিপ্টটি কার্যকর করার পরে, প্রয়োজনীয় তথ্য সহ 9টি পাঠ্য ফাইল তৈরি করা হবে।

আজ, সাইবার নিরাপত্তা পেশাদাররা তাদের কাজের বিভিন্ন কাজের সমাধান করার জন্য প্রয়োজনীয় তথ্য সমৃদ্ধ করতে PowerShell ব্যবহার করতে পারেন। অটোলোড করার জন্য একটি স্ক্রিপ্ট যোগ করে, আপনি ডাম্পিং, ছবি ইত্যাদি ছাড়াই কিছু তথ্য পেতে পারেন।

উত্স: www.habr.com