Windows PowerShell content pack (контент багц)

← Контент багцууд

PowerShell нь Microsoft-ын ажлыг автоматжуулах болон тохиргоог удирдах хөтөлбөр юм. Энэ технологийн багц нь PowerShell логуудыг боловсруулна.

Шаардлага

• Windows 10, Windows 11 эсвэл Windows Server 2023
• PowerShell 5.1 эсвэл 7
• Лог дамжуулах agent: Winlogbeat 7.11/8.8 эсвэл NXLog 3.2

  NXLog болон Sidecar ашиглаж байгаа бол NXLog binary файлуудыг C:\Program Files (x86)\nxlog дор суулгах эсвэл Sidecar-ийн файлд хандах эрхийг тохируулах шаардлагатай.

• Тохируулсан Security Data Lake input: Beats with Beats type prefix

Дэмжигдэх лог/event ID

200, 300, 400, 403, 500, 501, 600, 800, 4100, 4101, 4102, 4103, 4104, 4105, 4106, 32784, 40961, 40962, 53504, 53506.

Дэмжигдэх event log нэрс

• Microsoft-Windows-PowerShell/Operational
• PowerShellCore/Operational
• Windows PowerShell

Энэ багц нь дээр жагсаасан гурван event log нэрийн аль нэг рүү PowerShell-ийн логууд илгээгдсэн тохиолдолд нийтлэг талбаруудыг хэвшүүлнэ.

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

“Illuminate:Powershell Messages”

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

“powershell Logs”

Лог форматын жишээ

Эдгээр логууд Windows Event Viewer-ээс .evtx файл хэлбэрээр ирдэг бөгөөд хүн унших боломжгүй.

Bitdefender Sidecar-ийн тохиргоо

Bitdefender Sidecar-ийг тохируулах дэлгэрэнгүй мэдээллийг Sidecars хэсгээс үзнэ үү. Winlogbeat эсвэл NXLog тохиргоондоо дараах path-уудыг заавал нэмэх хэрэгтэй:

Winlogbeat (Security логуудтай) жишээ:

winlogbeat:
  event_logs:
   - name: Security
   - name: Microsoft-Windows-PowerShell/Operational
   - name: PowerShellCore/Operational
   - name: Windows PowerShell

NXLog (Security логуудтай) жишээ:

<Input eventlog>
        Module im_msvistalog
        PollInterval 1
        SavePos False
        ReadFromLast True
    <QueryXML>
        <QueryList>
            <Query Id='1'>
                <Select Path='Security'>*</Select>
                <Select Path='Windows Powershell'>*</Select>
                <Select Path='PowerShellCore/Operational'>*</Select>
                <Select Path='Microsoft-Windows-PowerShell/Operational'>*</Select>
            </Query>
        </QueryList>
    </QueryXML>
</Input>

Host IP болон port-ыг өөрийн Bitdefender Forwarder-ийн утгад тааруулан засна. Тохиргооны файлууд том, жижиг үсгийг ялгадаг бөгөөд зөв хоосон зай (spacing) шаардлагатай. NXLog binary файлуудыг C:\Program Files (x86)\nxlog дор суулгахыг зөвлөдөг боловч өөр байршил сонговол Sidecar-ийн файлын эрхийг тохируулж, шинэ ROOT байршил тодорхойлох ёстой. PowerShellCore (PowerShell 6.x ба түүнээс дээш)-ийг ашиглахгүй бол PowerShellCore мөрийг орхино. Алсаас хийсэн PowerShell хандалтыг (remote PowerShell access) бүртгэхийн тулд Microsoft-Windows-WinRM/Operational path-ийг нэмнэ (энэ багц дэмжихгүй).

PowerShell-ийн тохиргоо

PowerShell-ийн бүх лог анхдагчаар бүртгэгддэггүй. Шаардлагатай бол Script Block Logging (event ID 4104), Module Logging (event ID 4103) болон бусдыг group policy-ээр идэвхжүүлнэ.

PowerShell хувилбар 5 (болон түүнээс өмнөх) ба PowerShellCore хувилбар 6.x (болон түүнээс хойших) нь тусдаа policy болон registry тохиргоотой. Хоёр хувилбарыг хоёуланг нь логлохыг хүсвэл хоёр түлхүүрийг (key) хоёуланг нь тохируулах ёстой.

PowerShellCore нь нэмэлт лог эх сурвалж болгон PowerShellCore/Operational-ийг ашигладаг.

Юу багтсан бэ

• PowerShell лог мессежүүдийг хэвшүүлэх (normalize) болон баяжуулах (enrich) дүрмүүд
• Dashboard-ууд

PowerShell мессежийн боловсруулалт

Illuminate-ийн PowerShell лог мессежийн боловсруулалт дараахыг хангана:

• PowerShell лог мессежүүдийн талбар гаргаж авах, хэвшүүлэх болон мессежийг баяжуулах.
• Дараах мессежүүдийн GIM ангилал:

PowerShell Spotlight контент багц

PowerShell нэг dashboard санал болгодог бөгөөд 4 tab-тай: нэг ерөнхий тойм (overview) dashboard ба Sigma дүрмүүдэд хамаарах өгөгдлийн талаарх гурван dashboard.