🥇 घटना जानकारी सङ्कलन गर्न PowerShell प्रयोग गर्दै

PowerShell एक सामान्य स्वचालन उपकरण हो जुन प्रायः दुबै मालवेयर विकासकर्ताहरू र सूचना सुरक्षा विशेषज्ञहरू द्वारा प्रयोग गरिन्छ।
यस लेखले सूचना सुरक्षा घटनाहरूमा प्रतिक्रिया दिँदा अन्त यन्त्रहरूबाट टाढाबाट डाटा सङ्कलन गर्न PowerShell प्रयोग गर्ने विकल्पको बारेमा छलफल गर्नेछ। यो गर्नको लागि, तपाईंले अन्तिम यन्त्रमा चल्ने स्क्रिप्ट लेख्न आवश्यक छ र त्यसपछि यस स्क्रिप्टको विस्तृत विवरण हुनेछ।

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

सुरु गर्न, एउटा प्रकार्य सिर्जना गर्नुहोस् CSIRT विस्तार, जसले एउटा तर्क लिनेछ - प्राप्त डाटा बचत गर्ने बाटो। धेरै cmdlets Powershell v5 मा काम गर्ने तथ्यको कारण, PowerShell संस्करण सही सञ्चालनको लागि जाँच गरियो।

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

सिर्जना गरिएका फाइलहरू मार्फत नेभिगेसनको सहजताका लागि, दुई चरहरू प्रारम्भ गरिएका छन्: $date र $Computer, जसलाई कम्प्युटरको नाम र हालको मिति तोकिएको छ।

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

हामीले हालको प्रयोगकर्ताको तर्फबाट चलिरहेको प्रक्रियाहरूको सूची निम्नानुसार पाउँछौं: $प्रोसेस चर सिर्जना गर्नुहोस्, यसलाई win32_process क्लासको साथ get-ciminstance cmdlet असाइन गर्नुहोस्। चयन-वस्तु cmdlet प्रयोग गरेर, तपाइँ अतिरिक्त आउटपुट प्यारामिटरहरू थप्न सक्नुहुन्छ, हाम्रो केसमा यी parentprocessid (अभिभावक प्रक्रिया ID PPID), सिर्जना मिति (प्रक्रिया सिर्जना मिति), प्रशोधित (प्रक्रिया ID PID), प्रक्रिया नाम (प्रक्रिया नाम), कमांडलाइन ( आदेश चलाउनुहोस्)।

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

सबै TCP र UDP जडानहरूको सूची प्राप्त गर्न, क्रमशः Get-NetTCPConnection र Get-NetTCPConnection cmdlets असाइन गरी $netTCP र $netUDP चरहरू सिर्जना गर्नुहोस्।

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

नियोजित कार्य र असाइनमेन्टहरूको सूची पत्ता लगाउन महत्त्वपूर्ण हुनेछ। यो गर्नको लागि, हामी get-ScheduledTask र Get-ScheduledJob cmdlets प्रयोग गर्छौं। तिनीहरूलाई $task र $job भ्यारीएबलहरू असाइन गरौं, किनभने प्रारम्भमा, प्रणालीमा धेरै अनुसूचित कार्यहरू छन्, त्यसपछि खराब गतिविधि पहिचान गर्न यो वैध अनुसूचित कार्यहरू फिल्टर गर्न लायक छ। चयन-वस्तु cmdlet ले हामीलाई यसमा मद्दत गर्नेछ।

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

NTFS फाइल प्रणालीमा वैकल्पिक डाटा स्ट्रिमहरू (ADS) जस्ता चीजहरू छन्। यसको मतलब यो हो कि NTFS मा फाइल वैकल्पिक रूपमा मनमानी आकारको बहु डेटा स्ट्रिमहरूसँग सम्बन्धित हुन सक्छ। ADS प्रयोग गरेर, तपाईले डेटा लुकाउन सक्नुहुन्छ जुन मानक प्रणाली जाँचहरू मार्फत देखिने छैन। यसले दुर्भावनापूर्ण कोड इन्जेक्ट गर्न र/वा डाटा लुकाउन सम्भव बनाउँछ।

PowerShell मा वैकल्पिक डेटा स्ट्रिमहरू प्रदर्शन गर्न, हामी सबै सम्भावित स्ट्रिमहरू हेर्नको लागि get-item cmdlet र * प्रतीकको साथ निर्मित Windows स्ट्रिम उपकरण प्रयोग गर्नेछौं, यसका लागि हामी $ADS चर सिर्जना गर्नेछौं।

$ADS = get-item * -stream * | where stream –ne ':$Data'

यो प्रणालीमा लगइन भएका प्रयोगकर्ताहरूको सूची पत्ता लगाउन उपयोगी हुनेछ; यसका लागि हामी $user चर सिर्जना गर्नेछौं र यसलाई quser कार्यक्रमको कार्यान्वयनमा नियुक्त गर्नेछौं।

$user = quser

आक्रमणकारीहरूले प्रणालीमा खुट्टा राख्नको लागि अटोरनमा परिवर्तन गर्न सक्छन्। स्टार्टअप वस्तुहरू हेर्न, तपाईंले Get-ItemProperty cmdlet प्रयोग गर्न सक्नुहुन्छ।
दुई चरहरू सिर्जना गरौं: $runUser - प्रयोगकर्ताको तर्फबाट स्टार्टअप हेर्न र $runMachine - कम्प्युटरको तर्फबाट स्टार्टअप हेर्नको लागि।

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

ताकि सबै जानकारी विभिन्न फाइलहरूमा लेखिएको छ, हामी चरहरू र फाइल नामहरूको साथ एरे सिर्जना गर्छौं।


$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

र लूपको लागि प्रयोग गरेर, प्राप्त डाटा फाइलहरूमा लेखिनेछ।

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

स्क्रिप्ट कार्यान्वयन गरेपछि, आवश्यक जानकारी सहित 9 पाठ फाइलहरू सिर्जना गरिनेछ।

आज, साइबरसेक्युरिटी प्रोफेसरहरूले आफ्नो काममा विभिन्न कार्यहरू समाधान गर्न आवश्यक जानकारीलाई समृद्ध बनाउन PowerShell प्रयोग गर्न सक्छन्। स्टार्टअपमा स्क्रिप्ट थपेर, तपाईंले डम्पहरू, छविहरू, आदि नहटाई केही जानकारी प्राप्त गर्न सक्नुहुन्छ।

स्रोत: www.habr.com

घटना जानकारी सङ्कलन गर्न PowerShell प्रयोग गर्दै

एक टिप्पणी थप्न Отменить ответ