使用 PowerShell 跟踪恶意 Windows Server 事件

Windows 服务器每天可能会生成数千甚至数十万个事件。大多数都是由完全安全的事件创建的，系统管理员可以使用这些事件来了解正在发生的情况。可能会生成一个事件来指示磁盘可用空间不足、Active Directory 发生错误或者系统管理员可能安装了某个软件。这里没有什么可担心的。然而，在这数千个正常事件的背后可能隐藏着一个迹象，表明可能存在黑客攻击。管理员如何大海捞针？

定义要寻找的内容

在管理员开始安装软件或打开脚本编辑器之前，他必须进行一些背景研究。第一个任务是定义要寻找的内容。 Windows 生成数千个不同的事件。管理员需要找出哪些事件可能表明存在安全威胁。

为此，他首先需要参考一些流行的安全问题指标：安全权限升级、用户帐户被放入重要组或安全日志被清除，这些都是坏人的一些流行的邪恶活动。有很多资源可以为您提供这些信息。

了解数据的表示方式

管理员决定要查找哪些操作后，下一步是发现这些操作如何在 Windows 服务器上表现出来。安全威胁的表现方式有很多种，但我们今天讨论的方法是通过 Windows 事件日志。当务之急是找出哪些事件 ID 与这些潜在的安全威胁相关。我用过的一个很棒的指南是终极 Windows 安全指南。它包含 Windows 服务器上生成的大多数与安全相关的事件及其事件 ID。

搜索数据

现在我们有一些东西可以处理。我们已经获得了需要注意的操作、这些操作的表现方式以及代表这些操作的事件 ID。是时候在服务器上执行查询来搜索这些事件了。这就是 Windows PowerShell 语言派上用场的地方。 PowerShell 提供了一些方便而强大的方法来查询 Windows 服务器上的事件日志。通过使用 PowerShell 查询事件日志，将查询扩展到多个服务器也变得轻而易举。让我们看一个如何实现这一点的示例。

Windows 有许多不同的事件日志来记录许多不同类型的活动。我们在这里要关注的是安全日志。安全日志是记录所有安全事件的地方（不管你信不信）。但是，我们将要使用的方法在其他事件日志中也同样有效。

假设管理员发现了三种不同的活动：

1. 安全日志已满 - 事件 ID 1104
2. 审核日志已清除 - 事件 ID 1102
3. 成员已添加到启用安全性的全局组 - 事件 ID 4728

从哪儿开始？第一步是使用名为 Get-WinEvent 的 PowerShell cmdlet。 Get-WinEvent 是 Get-EventLog 的更高级版本（如果您听说过的话）。 Get-WinEvent 虽然使用起来更复杂，但比 Get-EventLog 更强大且执行速度更快。让我们看一下使用 Get-WinEvent 在单个服务器上查找单个事件 ID 的示例。

在此示例中，您可以看到我正在查询服务器名称labdc.lab.local。我使用 FilterHashtable 参数将事件范围缩小到安全事件日志和我要查找的特定 ID，在本例中为 1102。

很简单，对吧？如果我想查找多个事件 ID（就像我之前提到的那样）怎么办？没问题！

您可以在示例中看到，我仍在查询同一服务器，但这次我正在查找三个不同的事件 ID，并且我能够找到事件 ID 4728 和 1102 的实例。

这只是一台服务器。您可能有不止一台服务器。因此，让我们扩大其范围并查询服务器列表。

就像添加一个 foreach 循环一样简单。正如您从示例中看到的，我能够在其中一台 Active Directory 全局编录服务器上找到事件 ID 4728 和 1102。其他三台服务器上未发现任何事件。

这只是您可以使用 PowerShell 执行的事件日志审核类型的示例。 PowerShell 非常适合快速修复和临时审核。如果您需要更强大的审核解决方案，我会推荐像 Netwrix Auditor 这样的工具。 Netwrix Auditor 是从一开始就考虑到审计而构建的，而且它确实有效。如果您不熟悉 PowerShell，请不要担心。 Netwrix 已经将智能功能内置到了他们的 Auditor 产品中。无需给自己增加编写脚本的负担。