analyzing-powershell-script-block-logging

PowerShell スクリプトブロックログの分析

使用する状況

• PowerShell スクリプトブロックログの分析が必要なセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティング用クエリを作成する場合
• SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視の網羅性を検証する場合

前提条件

• セキュリティ運用の概念とツールに関する知識
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に対する適切な許可

手順

1. 依存関係をインストールします：pip install python-evtx lxml
2. PowerShell Operational ログを収集します：Microsoft-Windows-PowerShell%4Operational.evtx
3. python-evtx を使用してイベント ID 4104 のエントリを解析し、複数パートのスクリプトを再構築するために ScriptBlockText、ScriptBlockId、MessageNumber/MessageTotal を抽出します。
4. 検出ヒューリスティックを適用します：
   • Base64 エンコードされたコマンド（-EncodedCommand、FromBase64String）
   • ダウンロード用クレードル（DownloadString、DownloadFile、Invoke-WebRequest、Net.WebClient）
   • AMSI バイパスのパターン（AmsiUtils、amsiInitFailed）
   • 難読化の兆候（高いエントロピー、ティックマークの挿入、文字列の連結）
5. 再構築したスクリプト、リスクスコア、MITRE ATT&CK のマッピングを含むレポートを生成します。

python scripts/agent.py --evtx-file /path/to/PowerShell-Operational.evtx --output ps_analysis.json

例

エンコードされたコマンドの実行を検出する

import base64
if "-encodedcommand" in script_text.lower():
    encoded = script_text.split()[-1]
    decoded = base64.b64decode(encoded).decode("utf-16-le")

複数ブロックのスクリプトを再構築する

複数の 4104 イベントに分割されたスクリプトは、同じ ScriptBlockId を共有します。MessageNumber の順にブロックを連結すると、スクリプト全体を復元できます。