攻撃者のためのPowerShell

PowerShellはWindowsに組み込まれており、OSや.NETと深く統合され、管理者から信頼されています。そのため、攻撃者にとってお気に入りのLiving off the Landツールとなっています。マルウェアを配置する必要がないためです。

このレッスンでは、Windowsを攻撃・防御するうえで理解しておくべき、攻撃に使われるPowerShellの概念を扱います。

PowerShellのコマンドは、動詞-名詞形式のコマンドレットです。単なるテキストではなく、豊富なオブジェクトをパイプラインに渡すため、列挙を強力に行えます。

攻撃者は組み込みのコマンドレットを使って、ユーザー、サービス、ネットワーク、パッチなどのホスト情報をすばやく調査します。

実行ポリシーはスクリプトファイルの実行を制限しますが、セキュリティ境界ではありません。多くの単純なフラグで回避できるため、防御側はこれに依存すべきではありません。

よく使われる手法では、ペイロードを取得してメモリ上で実行するため、ディスク上に残る痕跡を少なくできます。そのため、ネットワークとAMSIの監視が重要になります。

-EncodedCommandフラグは、Base64でエンコードされたPowerShellを実行します。これは、意図を簡単な目視確認や単純なフィルターから隠すためによく使われます。

防御側はログからこれらをデコードし、実際に実行された内容を明らかにします。

成熟したツールキットは、これらの基本機能を基盤に構築されています。

• PowerSploit / PowerView - ADの列挙と侵害後の活動。
• Empire / Covenant - コマンドアンドコントロール。
• Nishang - 攻撃用スクリプト。

現在では、そのほとんどが防御製品によって多数のシグネチャで検出されます。

ドメイン内では、PowerShell（PowerViewまたはADモジュール）を使ってユーザー、グループ、信頼関係をマッピングします。これは、Domain Adminへの経路を見つけるための基礎となります。

Microsoftは、PowerShellの悪用に特化した防御機能を追加しました。

• AMSI（Antimalware Scan Interface）は、実行前にスクリプトの内容をスキャンします。
• Script Block Loggingは、実行された内容を記録します。
• Constrained Language Modeは、危険な機能を制限します。

攻撃者はAMSIの回避を試み、防御側はログを監視します。

ブルーチームは、次の兆候を探して悪意のあるPowerShellをハンティングします。

• エンコードまたは難読化されたコマンド。
• DownloadString / IEXによるネットワーク経由の取得。
• 通常とは異なる親プロセス（OfficeがPowerShellを起動するなど）。
• AMSIとイベントID 4104のスクリプトブロックログ。

これらの手法は強力で、実際の侵入に直接つながります。自分のラボ内、または明示的な書面による許可を得た場合にのみ実行してください。

ログを読み、AMSIによる検知を見つけるといった防御側の練習は、攻撃側の練習と同じくらい価値があります。

実行ポリシーを制御手段として評価してください。

攻撃に使われるPowerShellについて学びました。

• オブジェクトベースのコマンドレットにより、列挙を強力かつ秘匿性の高い形で行えます（Living off the Land）。
• ダウンロードして実行する手法、エンコードされたコマンド、PowerViewやEmpireなどのフレームワークがあります。
• 実行ポリシーはセキュリティではありません。実際の防御となるのはAMSIとスクリプトブロックログです。
• 常に倫理的に活動し、防御側の視点も学んでください。

これでWindows Internalsコースは完了です。