שימוש ב- PowerShell לאיסוף מידע על אירוע

PowerShell הוא כלי אוטומציה נפוץ למדי, המשמש לעתים קרובות גם מפתחי תוכנות זדוניות וגם מומחי אבטחת מידע.
מאמר זה ידון באפשרות של שימוש ב- PowerShell לאיסוף מרחוק נתונים ממכשירי קצה בעת תגובה לאירועי אבטחת מידע. לשם כך תצטרכו לכתוב סקריפט שיפעל על מכשיר הקצה ולאחר מכן יהיה תיאור מפורט של הסקריפט הזה.

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

כדי להתחיל, צור פונקציה סיומת CSIRT, שייקח ארגומנט - הנתיב לשמירת הנתונים שהתקבלו. בשל העובדה שרוב ה-cmdlets פועלים ב-Powershell v5, גרסת PowerShell נבדקה לפעולה נכונה.

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

כדי להקל על הניווט בין הקבצים שנוצרו, שני משתנים מאותחלים: $date ו-$Computer, שיוקצו להם שם המחשב והתאריך הנוכחי.

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

אנו מקבלים את רשימת התהליכים הרצים מטעם המשתמש הנוכחי באופן הבא: צור משתנה $process, מקצה לו את ה-cmdlet get-ciminstance עם המחלקה win32_process. באמצעות ה-cmdlet Select-Object, ניתן להוסיף פרמטרי פלט נוספים, במקרה שלנו אלו יהיו parentprocessid (מזהה תהליך אב PPID), תאריך יצירה (תאריך יצירת תהליך), מעובד (מזהה תהליך PID), שם תהליך (שם תהליך), שורת פקודה ( הפעל פקודה).

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

כדי לקבל רשימה של כל חיבורי TCP ו-UDP, צור את המשתנים $netTCP ו-$netUDP על ידי הקצאת ה-cmdlets Get-NetTCPConnection ו-Get-NetTCPConnection, בהתאמה.

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

חשוב יהיה לברר את רשימת המשימות והמשימות המתוכננות. לשם כך, אנו משתמשים ב-cmdlets get-ScheduledTask ו-Get-ScheduledJob. בואו נקצה להם את המשתנים $task ו-$job, כי בתחילה יש הרבה משימות מתוזמנות במערכת, ואז כדי לזהות פעילות זדונית כדאי לסנן משימות מתוזמנות לגיטימיות. ה-cmdlet Select-Object יעזור לנו בכך.

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

במערכת הקבצים NTFS יש דבר כזה כמו זרמי נתונים אלטרנטיביים (ADS). משמעות הדבר היא שניתן לשייך קובץ ב-NTFS למספר זרמי נתונים בגודל שרירותי. באמצעות ADS, אתה יכול להסתיר נתונים שלא יהיו גלויים באמצעות בדיקות מערכת רגילות. זה מאפשר להחדיר קוד זדוני ו/או להסתיר נתונים.

כדי להציג זרמי נתונים חלופיים ב-PowerShell, נשתמש ב-get-item cmdlet ובכלי הזרם המובנה של Windows עם הסמל * כדי להציג את כל הזרמים האפשריים, לשם כך ניצור את המשתנה $ADS.

$ADS = get-item * -stream * | where stream –ne ':$Data' 

זה יהיה שימושי לברר את רשימת המשתמשים המחוברים למערכת; לשם כך ניצור משתנה $user ונקצה אותו לביצוע תוכנית quser.

$user = quser

תוקפים יכולים לבצע שינויים בהפעלה אוטומטית כדי להשיג דריסת רגל במערכת. כדי להציג אובייקטי הפעלה, אתה יכול להשתמש ב-cmdlet Get-ItemProperty.
בואו ניצור שני משתנים: $runUser - לצפייה באתחול מטעם המשתמש ו-$runMachine - לצפייה בהפעלה מטעם המחשב.

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

כדי שכל המידע נכתב לקבצים שונים, אנו יוצרים מערך עם משתנים ומערך עם שמות קבצים.

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

ובאמצעות לולאת for, הנתונים שהתקבלו ייכתבו לקבצים.

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

לאחר ביצוע הסקריפט, ייווצרו 9 קבצי טקסט המכילים את המידע הדרוש.

כיום, אנשי אבטחת סייבר יכולים להשתמש ב-PowerShell כדי להעשיר את המידע הנחוץ להם לפתרון מגוון משימות בעבודתם. על ידי הוספת סקריפט להפעלה, אתה יכול לקבל קצת מידע מבלי להסיר dumps, תמונות וכו'.

מקור: www.habr.com