पॉवरशेल वापरून घटनेची माहिती गोळा करणे

पॉवरशेल हे एक सामान्य ऑटोमेशन साधन आहे जे सहसा मालवेअर डेव्हलपर आणि माहिती सुरक्षा तज्ञ दोघांद्वारे वापरले जाते.
हा लेख माहिती सुरक्षिततेच्या घटनांना प्रतिसाद देताना शेवटच्या उपकरणांवरून दूरस्थपणे डेटा संकलित करण्यासाठी PowerShell वापरण्याच्या पर्यायावर चर्चा करेल. हे करण्यासाठी, तुम्हाला एक स्क्रिप्ट लिहावी लागेल जी एंड डिव्हाइसवर चालेल आणि नंतर या स्क्रिप्टचे तपशीलवार वर्णन असेल.

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

प्रारंभ करण्यासाठी, एक कार्य तयार करा CSIRT विस्तार, जे एक युक्तिवाद घेईल - प्राप्त केलेला डेटा जतन करण्याचा मार्ग. पॉवरशेल v5 मध्ये बहुतेक cmdlets कार्य करतात या वस्तुस्थितीमुळे, PowerShell आवृत्ती योग्य ऑपरेशनसाठी तपासली गेली.

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

तयार केलेल्या फाइल्सद्वारे नेव्हिगेशनच्या सुलभतेसाठी, दोन व्हेरिएबल्स सुरू केल्या आहेत: $date आणि $Computer, ज्यांना संगणकाचे नाव आणि वर्तमान तारीख नियुक्त केली जाईल.

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

आम्हाला सध्याच्या वापरकर्त्याच्या वतीने चालू असलेल्या प्रक्रियांची यादी खालीलप्रमाणे मिळते: $process व्हेरिएबल तयार करा, त्यास win32_process क्लाससह get-ciminstance cmdlet नियुक्त करा. सिलेक्ट-ऑब्जेक्ट cmdlet वापरून, तुम्ही अतिरिक्त आउटपुट पॅरामीटर्स जोडू शकता, आमच्या बाबतीत ते parentprocessid (पालक प्रक्रिया आयडी PPID), निर्मिती तारीख (प्रक्रिया तयार करण्याची तारीख), प्रक्रिया केलेले (प्रक्रिया आयडी PID), प्रक्रिया नाव (प्रक्रिया नाव), कमांडलाइन ( कमांड चालवा).

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

सर्व TCP आणि UDP कनेक्शनची सूची मिळविण्यासाठी, $netTCP आणि $netUDP व्हेरिएबल्सना अनुक्रमे Get-NetTCPConnection आणि Get-NetTCPConnection cmdlets नियुक्त करून तयार करा.

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

नियोजित कार्ये आणि असाइनमेंटची यादी शोधणे महत्वाचे आहे. हे करण्यासाठी, आम्ही get-ScheduledTask आणि Get-ScheduledJob cmdlets वापरतो. चला त्यांना $task आणि $job व्हेरिएबल्स नियुक्त करू, कारण सुरुवातीला, सिस्टममध्ये बरीच शेड्यूल केलेली कार्ये आहेत, नंतर दुर्भावनापूर्ण क्रियाकलाप ओळखण्यासाठी कायदेशीर अनुसूचित कार्ये फिल्टर करणे योग्य आहे. सिलेक्ट-ऑब्जेक्ट cmdlet आम्हाला यामध्ये मदत करेल.

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

NTFS फाइल सिस्टममध्ये पर्यायी डेटा प्रवाह (ADS) सारखी गोष्ट आहे. याचा अर्थ असा की NTFS मधील फाइल वैकल्पिकरित्या अनियंत्रित आकाराच्या एकाधिक डेटा प्रवाहांशी संबंधित असू शकते. ADS वापरून, तुम्ही डेटा लपवू शकता जो मानक सिस्टम तपासणीद्वारे दृश्यमान होणार नाही. यामुळे दुर्भावनायुक्त कोड इंजेक्ट करणे आणि/किंवा डेटा लपवणे शक्य होते.

पॉवरशेलमध्‍ये पर्यायी डेटा प्रवाह प्रदर्शित करण्‍यासाठी, सर्व संभाव्य प्रवाह पाहण्‍यासाठी आम्ही get-item cmdlet आणि अंगभूत विंडोज स्ट्रीम टूल * चिन्हासह वापरू, यासाठी आम्ही $ADS व्हेरिएबल तयार करू.

$ADS = get-item * -stream * | where stream –ne ':$Data' 

सिस्टममध्ये लॉग इन केलेल्या वापरकर्त्यांची यादी शोधणे उपयुक्त ठरेल; यासाठी आम्ही $user व्हेरिएबल तयार करू आणि ते क्यूसर प्रोग्रामच्या अंमलबजावणीसाठी नियुक्त करू.

$user = quser

आक्रमणकर्ते सिस्टममध्ये पाऊल ठेवण्यासाठी ऑटोरनमध्ये बदल करू शकतात. स्टार्टअप ऑब्जेक्ट्स पाहण्यासाठी, तुम्ही Get-ItemProperty cmdlet वापरू शकता.
चला दोन व्हेरिएबल्स तयार करू: $runUser - वापरकर्त्याच्या वतीने स्टार्टअप पाहण्यासाठी आणि $runMachine - संगणकाच्या वतीने स्टार्टअप पाहण्यासाठी.

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

सर्व माहिती वेगवेगळ्या फाइल्सवर लिहिली जावी म्हणून, आम्ही व्हेरिएबल्ससह अॅरे आणि फाइल नावांसह अॅरे तयार करतो.

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

आणि फॉर लूप वापरुन, प्राप्त केलेला डेटा फाईल्सवर लिहिला जाईल.

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

स्क्रिप्ट कार्यान्वित केल्यानंतर, आवश्यक माहिती असलेल्या 9 मजकूर फायली तयार केल्या जातील.

आज, सायबरसुरक्षा व्यावसायिक त्यांच्या कामातील विविध कार्ये सोडवण्यासाठी आवश्यक असलेली माहिती समृद्ध करण्यासाठी PowerShell वापरू शकतात. स्टार्टअपमध्ये स्क्रिप्ट जोडून, ​​तुम्ही डंप, प्रतिमा इत्यादी न काढता काही माहिती मिळवू शकता.

स्त्रोत: www.habr.com