अगर आपको malicious PowerShell के लिए detection लिखनी हो, तो आप किस चीज पर टिकाएंगे?

keyword के बजाय व्यवहार और संदर्भ पर टिकाएं। मजबूत संकेतों में शामिल हैं संदिग्ध parent process (Office application, browser, WMI), encoded या obfuscated command line, execution policy bypass के साथ hidden window, script block logging में दिखता download या reflection वाला content, और powershell.exe से किसी नए infrastructure तक outbound connection। पहले module और script block logging चालू करें, क्योंकि उनके बिना आप सिर्फ command line पर मिलान कर रहे होते हैं।

कुछ भी लिखने से पहले मैं जांचता हूं कि script block logging और module logging चालू हैं, साथ में command line auditing वाला process creation, क्योंकि कटी हुई command line के मुकाबले लिखा गया rule लगभग बेकार है। फिर मैं एक संकेत पर टिकने के बजाय संकेतों को जोड़ता हूं। parent process सबसे मजबूत है: Word, Excel, Outlook, mshta या किसी browser से निकली PowerShell लगभग अकेले ही alert लायक है। उसके बाद, encoded command साथ में hidden window और execution policy bypass, और script block के content के भीतर मैं reflective loading, DownloadString, किसी variable पर Invoke-Expression, और memory API में सीधी call ढूंढता हूं। नेटवर्क की तरफ, powershell.exe का किसी raw IP से या पिछले हफ्ते पहली बार दिखे domain से बात करना। मैं atomic test और साथ में दो एक obfuscated variant से टेस्ट करता हूं, क्योंकि अगर मेरा rule साधारण string जोड़ने से ही मर जाता है तो वह detection था ही नहीं। आम जायज छेड़छाड़ deployment और monitoring का stack होता है, इसलिए मैं उन service account को pager बजने के बाद नहीं, लाइव जाने से पहले baseline कर लेता हूं।