analyzing-powershell-empire-artifacts について
SOC 分析担当者や脅威ハンター向けに、Windows イベントログに残る PowerShell Empire の痕跡を分析するスキルです。起動パターンやペイロードなどを検出し、タイムラインと MITRE ATT&CK の対応を含む JSON レポートを生成します。
主な機能
- 01Windows イベントログまたは EVTX の分析
- 02Empire の既定ランチャーの検出
- 03ステージャーとエンコード済みペイロードの検出
- 04既知モジュールと URL パターンの照合
- 05IOC と不審イベントのタイムライン作成
- 06MITRE ATT&CK 技術への対応付け
活用シーン
- 01PowerShell Empire に関わるインシデント調査
- 02検出ルールや脅威ハンティングクエリの作成
- 03関連する攻撃手法への監視範囲の評価
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/analyzing-powershell-empire-artifactsを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
PowerShell Empire の痕跡を分析する
概要
PowerShell Empire は、リスナー、ステージャー、エージェントで構成されるポストエクスプロイト用フレームワークです。その痕跡は Windows イベントログに検出可能な形で残ります。特に、PowerShell スクリプトブロックのログ記録（イベント ID 4104）とモジュールのログ記録（イベント ID 4103）に残ります。このスキルでは、Empire のデフォルトランチャー文字列（powershell -noP -sta -w 1 -enc）、System.Net.WebClient と FromBase64String を含む Base64 エンコード済みペイロード、既知のモジュール呼び出し（Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation）、ステージング URL のパターンを対象にイベントログを分析します。
使用する場面
- PowerShell Empire の痕跡を分析する必要があるセキュリティインシデントを調査する場合
- この分野の検出ルールや脅威ハンティングクエリを作成する場合
- SOC アナリストが、この種の分析のための体系的な手順を必要とする場合
- 関連する攻撃手法に対するセキュリティ監視の網羅性を検証する場合
前提条件
- Windows イベントログまたはエクスポート済み EVTX ファイルにアクセスできる Python 3.9 以降
- グループポリシーで PowerShell スクリプトブロックのログ記録（イベント ID 4104）を有効にしていること
- 包括的な監視のため、モジュールのログ記録（イベント ID 4103）を有効にしていること
主な検出パターン
- デフォルトランチャー —
powershell -noP -sta -w 1 -encの後に続く Base64 データ - ステージャーの兆候 —
System.Net.WebClient、DownloadData、DownloadString、FromBase64String - モジュールのシグネチャ — Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation、Invoke-PSInject、Invoke-DCOM
- ユーザーエージェント文字列 — HTTP リスナー設定における Empire のデフォルトユーザーエージェント
- ステージング URL —
/login/process.php、/admin/get.phpなどのデフォルト URI パターン
出力
一致した IOC、デコード済み Base64 ペイロード、不審なイベントのタイムライン、MITRE ATT&CK の手法との対応付け、重大度スコアを含む JSON レポート。