PowerShellでの不審サイトへのアクセスをイベントログで発見！

こんにちは、ぎんたです。

IT・フォレンジック・セキュリティアナリスト関連業務を8年ほどやっております。

端末の調査で不審な通信先へのアクセスの痕跡を調査する方法はいくつかありますが、おすすめの方法はPowerShellログを調査することです。

今回は、

について順番に解説していきます。

PowerShellとは何か

PowerShellは、Windowsオペレーティングシステムに組み込まれており、管理者にとって日々の作業を自動化するための有益なツールです。

一方で、攻撃者にも非常に良く使われるツールでもあります。

PowerShell実行ログをどのイベントログで確認するか？

PowerShellコンソールで実行されるコマンドはイベントログで監査することができます。

これはPowerShellロギングとして知られています。

PowerShellコマンドやスクリプトが実行されると、そのアクティビティがイベントログに記録されます。

イベントログは、Microsoft-Windows-PowerShellなどのプロバイダーによって分類されます。

各プロバイダーは、端末で発生した特定のイベントやアクションを識別するための特定のイベントIDを持っています。

今回の調査では、

• イベントログファイル：Microsoft-Windows-PowerShell/Operational
• イベントID：4103、4104

を対象に調査を行います。

FullEventLogViewを使ったイベントログ解析

Windowsでイベントログの調査でイベントビューアというツールを使用できますが、これを簡単にできるように、NirSoftのFullEventLogViewというツールを使用します。

ツールを起動し、フィルタを使用します。

このように、Invoke-WebRequestを用いて外部のサーバと4321ポートで通信した履歴を確認することができます。

もう少し別のログを確認してみましょう。

ここでは外部サイトから脆弱性を悪用するコードをダウンロードした履歴を確認できます。

wgetコマンドで示されたサイトにアクセスし、どのようなコードなのかの詳細を確認することもできます。

確認すると、“PrintNightmare “と名付けられたリモートコード実行およびローカル権限昇格の重大な脆弱性を突いたコードであることが判明しました。

まとめ

今回はPowerShellでの不審サイトアクセスをイベントログで発見する方法について紹介しました。

PowerShellのイベントログを追跡することで、攻撃者が行った行動を詳細に追うことができます。

以上、ぎんたでした。