घटना की जानकारी इकट्ठा करने के लिए पावरशेल का उपयोग करना

पॉवरशेल एक काफी सामान्य स्वचालन उपकरण है जिसका उपयोग अक्सर मैलवेयर डेवलपर्स और सूचना सुरक्षा विशेषज्ञ दोनों द्वारा किया जाता है।
यह आलेख सूचना सुरक्षा घटनाओं पर प्रतिक्रिया देते समय अंतिम उपकरणों से डेटा के दूरस्थ संग्रह के लिए पावरशेल के उपयोग पर विचार करेगा। ऐसा करने के लिए, आपको एक स्क्रिप्ट लिखनी होगी जो अंतिम डिवाइस पर चलेगी, और फिर इस स्क्रिप्ट का विस्तृत विवरण होगा।

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

आरंभ करने के लिए, एक फ़ंक्शन बनाएं सीएसआईआरटी, जो एक तर्क लेगा - प्राप्त डेटा को सहेजने का पथ। इस तथ्य के कारण कि अधिकांश सीएमडीलेट पॉवरशेल v5 में काम करते हैं, सही संचालन के लिए पॉवरशेल संस्करण की जाँच की गई है।

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

बनाई गई फ़ाइलों के माध्यम से नेविगेशन में आसानी के लिए, दो चर प्रारंभ किए गए हैं: $दिनांक और $कंप्यूटर, जिन्हें कंप्यूटर का नाम और वर्तमान दिनांक निर्दिष्ट किया जाएगा।

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

हमें वर्तमान उपयोगकर्ता की ओर से चल रही प्रक्रियाओं की सूची इस प्रकार मिलती है: इसे win32_process वर्ग के साथ get-ciminstance cmdlet निर्दिष्ट करके $process वैरिएबल बनाएं। सेलेक्ट-ऑब्जेक्ट सीएमडीलेट का उपयोग करके, आप अतिरिक्त आउटपुट पैरामीटर जोड़ सकते हैं, हमारे मामले में, ये पैरेंटप्रोसेसिड (पीपीआईडी ​​पैरेंट प्रोसेस आईडी), क्रिएशनडेट (प्रोसेस निर्माण तिथि), प्रोसेस्ड (पीआईडी ​​प्रोसेस आईडी), प्रोसेसनाम (प्रोसेस नाम), कमांडलाइन होंगे। (स्टार्ट कमांड)।

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

सभी टीसीपी और यूडीपी कनेक्शनों की सूची प्राप्त करने के लिए, $netTCP और $netUDP वेरिएबल्स को क्रमशः Get-NetTCPConnection और Get-NetTCPConnection cmdlet असाइन करके बनाएं।

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

निर्धारित कार्यों और कार्यों की सूची जानना महत्वपूर्ण होगा। ऐसा करने के लिए, हम get-ScheduledTask और Get-ScheduledJob cmdlet का उपयोग करते हैं। आइए उन्हें $task और $job वेरिएबल असाइन करें, क्योंकि प्रारंभ में, सिस्टम में बहुत सारे निर्धारित कार्य होते हैं, फिर दुर्भावनापूर्ण गतिविधि की पहचान करने के लिए, वैध निर्धारित कार्यों को फ़िल्टर करना उचित होता है। सेलेक्ट-ऑब्जेक्ट सीएमडीलेट इसमें हमारी मदद करेगा।

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

एनटीएफएस फाइल सिस्टम में वैकल्पिक डेटा स्ट्रीम (वैकल्पिक डेटा स्ट्रीम, एडीएस) जैसी कोई चीज होती है। इसका मतलब यह है कि एनटीएफएस पर एक फ़ाइल को मनमाने आकार की कई डेटा स्ट्रीम के साथ जोड़ा जा सकता है। ADS के साथ, आप वह डेटा छुपा सकते हैं जो मानक सिस्टम जाँच द्वारा दिखाई नहीं देगा। यह दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है और/या डेटा छिपा सकता है।

पावरशेल में वैकल्पिक डेटा स्ट्रीम प्रदर्शित करने के लिए, हम सभी संभावित स्ट्रीम देखने के लिए गेट-आइटम सीएमडीलेट और * प्रतीक के साथ अंतर्निहित विंडोज स्ट्रीम टूल का उपयोग करेंगे, इसके लिए हम $ADS वैरिएबल बनाएंगे।

$ADS = get-item * -stream * | where stream –ne ':$Data' 

सिस्टम में लॉग इन किए गए उपयोगकर्ताओं की सूची जानना उपयोगी होगा, इसके लिए हम एक $user वैरिएबल बनाएंगे और इसे क्यूसर प्रोग्राम के निष्पादन को असाइन करेंगे।

$user = quser

सिस्टम में पैर जमाने के लिए, हमलावर ऑटोरन में बदलाव कर सकते हैं। आइटम को ऑटोप्ले में देखने के लिए आप Get-ItemProperty cmdlet का उपयोग कर सकते हैं।
आइए दो वेरिएबल बनाएं: $runUser - उपयोगकर्ता की ओर से ऑटोलोड देखने के लिए और $runMachine - कंप्यूटर की ओर से ऑटोलोड देखने के लिए।

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

सभी सूचनाओं को अलग-अलग फाइलों में लिखने के लिए, हम वेरिएबल के साथ एक सरणी और फ़ाइल नामों के साथ एक सरणी बनाते हैं।

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

और, फॉर लूप का उपयोग करके, परिणामी डेटा फ़ाइलों में लिखा जाएगा।

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

स्क्रिप्ट निष्पादित करने के बाद, आवश्यक जानकारी वाली 9 टेक्स्ट फ़ाइलें बनाई जाएंगी।

आज, साइबर सुरक्षा पेशेवर अपने काम में विभिन्न प्रकार के कार्यों को हल करने के लिए आवश्यक जानकारी को समृद्ध करने के लिए पावरशेल का उपयोग कर सकते हैं। ऑटोलोड में एक स्क्रिप्ट जोड़कर, आप बिना डंपिंग, इमेज आदि के कुछ जानकारी प्राप्त कर सकते हैं।

स्रोत: www.habr.com