PowerShell-ის გამოყენება ინციდენტის შესახებ ინფორმაციის მოსაგროვებლად

PowerShell არის საკმაოდ გავრცელებული ავტომატიზაციის ინსტრუმენტი, რომელსაც ხშირად იყენებენ როგორც მავნე პროგრამის შემქმნელები, ასევე ინფორმაციული უსაფრთხოების სპეციალისტები.
ეს სტატია განიხილავს PowerShell-ის გამოყენების ვარიანტს ბოლო მოწყობილობებიდან მონაცემების დისტანციურად შესაგროვებლად ინფორმაციის უსაფრთხოების ინციდენტებზე რეაგირებისას. ამისათვის თქვენ უნდა დაწეროთ სკრიპტი, რომელიც იმუშავებს ბოლო მოწყობილობაზე და შემდეგ იქნება ამ სკრიპტის დეტალური აღწერა.

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

დასაწყებად შექმენით ფუნქცია CSIRT გაფართოება, რომელიც მიიღებს არგუმენტს - მიღებული მონაცემების შენახვის გზას. იმის გამო, რომ cmdlet-ების უმეტესობა მუშაობს Powershell v5-ში, PowerShell ვერსია შემოწმდა სწორი მუშაობისთვის.

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

შექმნილ ფაილებში ნავიგაციის გასაადვილებლად ორი ცვლადის ინიციალიზაცია ხდება: $date და $Computer, რომლებსაც მიენიჭებათ კომპიუტერის სახელი და მიმდინარე თარიღი.

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

ჩვენ ვიღებთ მიმდინარე მომხმარებლის სახელით გაშვებული პროცესების ჩამონათვალს შემდეგნაირად: შექმენით $process ცვლადი, მივანიჭოთ მას get-ciminstance cmdlet win32_process კლასთან. Select-Object cmdlet-ის გამოყენებით შეგიძლიათ დაამატოთ დამატებითი გამომავალი პარამეტრები, ჩვენს შემთხვევაში ეს იქნება მშობელი პროცესი (პროცესის მშობელი ID PPID), შექმნის თარიღი (პროცესის შექმნის თარიღი), დამუშავებული (პროცესის ID PID), პროცესის სახელი (პროცესის სახელი), ბრძანების ხაზი ( გაშვების ბრძანება).

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

ყველა TCP და UDP კავშირის სიის მისაღებად, შექმენით $netTCP და $netUDP ცვლადები, მინიჭებით მათ, შესაბამისად, Get-NetTCPConnection და Get-NetTCPConnection cmdlets.

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

მნიშვნელოვანი იქნება დაგეგმილი ამოცანებისა და დავალებების ჩამონათვალის გარკვევა. ამისთვის ვიყენებთ get-ScheduledTask და Get-ScheduledJob cmdlet-ებს. მოდით მივცეთ მათ $task და $job ცვლადები, რადგან თავდაპირველად, სისტემაში უამრავი დაგეგმილი დავალებაა, შემდეგ მავნე მოქმედებების იდენტიფიცირებისთვის ღირს ლეგიტიმური დაგეგმილი ამოცანების გაფილტვრა. Select-Object cmdlet ამაში დაგვეხმარება.

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

NTFS ფაილურ სისტემაში არის ისეთი რამ, როგორიცაა მონაცემთა ალტერნატიული ნაკადები (ADS). ეს ნიშნავს, რომ ფაილი NTFS-ში არჩევითად შეიძლება ასოცირებული იყოს თვითნებური ზომის მრავალრიცხოვან მონაცემთა ნაკადთან. რეკლამის გამოყენებით შეგიძლიათ დამალოთ მონაცემები, რომლებიც არ იქნება ხილული სტანდარტული სისტემის შემოწმების გზით. ეს შესაძლებელს ხდის მავნე კოდის შეყვანას და/ან მონაცემების დამალვას.

PowerShell-ში მონაცემთა ალტერნატიული ნაკადების საჩვენებლად, ჩვენ გამოვიყენებთ get-item cmdlet-ს და ჩაშენებულ Windows-ის ნაკადის ხელსაწყოს * სიმბოლოს ყველა შესაძლო ნაკადის სანახავად, ამისთვის შევქმნით $ADS ცვლადს.

$ADS = get-item * -stream * | where stream –ne ':$Data' 

სასარგებლო იქნება სისტემაში შესული მომხმარებლების სიის გარკვევა, ამისთვის ჩვენ შევქმნით $user ცვლადს და მივანიჭებთ მას quser პროგრამის შესრულებას.

$user = quser

თავდამსხმელებს შეუძლიათ შეიტანონ ცვლილებები autorun-ში, რათა მოიპოვონ ფეხი სისტემაში. გაშვების ობიექტების სანახავად შეგიძლიათ გამოიყენოთ Get-ItemProperty cmdlet.
მოდით შევქმნათ ორი ცვლადი: $runUser - მომხმარებლის სახელით გაშვების სანახავად და $runMachine - გაშვების სანახავად კომპიუტერის სახელით.

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

ისე, რომ ყველა ინფორმაცია ჩაიწეროს სხვადასხვა ფაილში, ჩვენ ვქმნით მასივს ცვლადებით და მასივს ფაილის სახელებით.

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

და for loop-ის გამოყენებით მიღებული მონაცემები ჩაიწერება ფაილებში.

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

სკრიპტის შესრულების შემდეგ შეიქმნება 9 ტექსტური ფაილი, რომელიც შეიცავს საჭირო ინფორმაციას.

დღეს კიბერუსაფრთხოების პროფესიონალებს შეუძლიათ გამოიყენონ PowerShell იმ ინფორმაციის გასამდიდრებლად, რომელიც მათ სჭირდებათ სამუშაოს სხვადასხვა ამოცანების გადასაჭრელად. გაშვებისთვის სკრიპტის დამატებით, შეგიძლიათ მიიღოთ გარკვეული ინფორმაცია ნაგავსაყრელების, სურათების და ა.შ. წაშლის გარეშე.

წყარო: www.habr.com