hunting-for-anomalous-powershell-execution

異常な PowerShell 実行のハンティング

概要

PowerShell スクリプトブロックのログ記録（イベント ID 4104）には、Windows エンドポイントで実行された、難読化解除済みのスクリプト全文が記録されます。そのため、悪意のある PowerShell をハンティングする際の主要なデータソースとなります。モジュールのログ記録（4103）やプロセス作成イベントと組み合わせることで、攻撃者が難読化レイヤーを使用している場合でも、エンコードされたコマンド、AMSI バイパスのパターン、ダウンロードクレードル、認証情報窃取ツール、ファイルレス攻撃の手法を検出できます。

使用する場面

• 異常な PowerShell 実行をハンティングする必要があるセキュリティインシデントの調査
• この分野の検出ルールや脅威ハンティングクエリの作成
• SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視の適用範囲の検証

前提条件

• Microsoft-Windows-PowerShell/Operational の Windows イベントログエクスポート（.evtx）
• python-evtx および lxml ライブラリを含む Python 3.8 以降
• グループポリシーによるスクリプトブロックのログ記録の有効化
• 一般的な PowerShell 攻撃手法に関する知識

手順

1. EVTX ファイルを解析し、イベント 4104 のスクリプトブロックテキストとメタデータを抽出します
2. ScriptBlock ID の相関を利用して、複数パートに分割されたスクリプトブロックを再構成します
3. スクリプトテキストをスキャンし、AMSI バイパスの兆候や難読化パターンを検出します
4. エンコードされたコマンドの実行と Base64 ペイロードを検出します
5. ダウンロードクレードル、認証情報のダンプ、ラテラルムーブメントのコマンドを特定します
6. 脅威の深刻度に応じて、検出結果にスコアを付け、優先順位を設定します

想定される出力

{
  "total_events": 1247,
  "suspicious_events": 23,
  "amsi_bypass_attempts": 2,
  "encoded_commands": 8,
  "download_cradles": 5,
  "credential_access": 3
}