További információ a PowerShell-parancsfájlok biztonságáról

A következőre vonatkozik: Configuration Manager (aktuális ág)

A rendszergazda felelőssége ellenőrizni a javasolt PowerShell- és PowerShell-paraméterhasználatot a saját környezetében. Az alábbiakban néhány hasznos forrást talál, amelyek segítenek a rendszergazdáknak tájékoztatást nyújtani a PowerShell erejéről és a lehetséges kockázati felületekről. Ez az útmutató segít a potenciális kockázati felületek mérséklésében és a biztonságos szkriptek használatának engedélyezésében.

A PowerShell-parancsfájlok biztonsága

A Configuration Manager parancsprogram-funkciója lehetővé teszi a parancsfájlok vizuális áttekintését és jóváhagyását. Egy másik rendszergazda kérheti a parancsprogramja engedélyezését. A rendszergazdáknak tisztában kell lenniük azzal, hogy a PowerShell-parancsfájlok rejtett parancsfájlokat tartalmazhatnak. Az elhomályosított szkriptek kártékonyak lehetnek, és a parancsfájl jóváhagyási folyamata során nehezen észlelhetők vizuális vizsgálattal. A PowerShell-parancsfájlok vizuális áttekintése, valamint a vizsgálati eszközök használata a gyanús parancsfájlok felderítéséhez. Ezek az eszközök nem mindig tudják meghatározni a PowerShell szerzőjének szándékát, így felhívhatják a gyanús parancsfájlokra a figyelmet. Az eszközök használatához azonban a rendszergazdának meg kell ítélnie, hogy kártékony vagy szándékos parancsfájlok szintaxisáról van-e szó.

Javaslatok

• Ismerkedjen meg a PowerShell biztonsági útmutatóival az alább ismertetett különböző hivatkozások segítségével.
• Írja alá a szkripteket: A szkriptek biztonságának megőrzésének másik módja az, ha ellenőrzést és aláírást végez, mielőtt használatra importálná őket.
• Ne tároljon titkos kódokat (például jelszavakat) PowerShell-parancsfájlokban, és tudjon meg többet a titkok kezeléséről.

Általános információk a PowerShell biztonságáról

Ezt a hivatkozásgyűjteményt azért választottuk, hogy a Configuration Manager-rendszergazdák kiindulópontot kapjanak a PowerShell-parancsfájlok biztonsági javaslatainak megismeréséhez.

Védekezés a PowerShell-támadások ellen

Védelem a rosszindulatú kódinjektálás ellen

PowerShell – A kék csapat a Deep Script blokknaplózást, a védett események naplózását, a kártevőirtó vizsgálati felületet és a biztonságos kódgenerálási API-kat tárgyalja

API for anti-malware scan interface

PowerShell-paraméterek biztonsága

A paraméterek átadásával rugalmasan használhatja a parancsfájlokat, és elhalaszthatja a döntéseket a futtatás idejére. Ez egy másik kockázati felületet is megnyit.

Az alábbi lista javaslatokat tartalmaz a rosszindulatú paraméterek és a parancsfájlok beszúrásának megakadályozására:

• Csak előre meghatározott paraméterek használatát engedélyezi.
• A reguláris kifejezés funkció használatával érvényesítheti az engedélyezett paramétereket.
  • Példa: Ha csak egy bizonyos értéktartomány engedélyezett, reguláris kifejezéssel ellenőrizze, hogy csak azok a karakterek vagy értékek szerepelnek-e a tartományban, amelyek alkothatják a tartományt.
  • A paraméterek érvényesítése megakadályozhatja, hogy a felhasználók escape-karaktereket, például idézőjeleket használjanak. Többféle típusú idézőjel is lehet, így gyakran egyszerűbb reguláris kifejezéseket használni a megengedettnek ítélt karakterek érvényesítésére, mint megpróbálni definiálni az összes nem megengedett bemenetet.
• Használja a PowerShell "injection hunter" modult a PowerShell-galériában.
  • Lehetnek hamis pozitív eredmények is, ezért a gyanúsként megjelölt adatok esetében figyeljen a szándékra, és állapítsa meg, hogy valós problémáról van-e szó.
• A Microsoft Visual Studio rendelkezik egy parancsfájlelemzővel, amely segíthet a PowerShell szintaxisának ellenőrzésében.

A következő videó: "DEF CON 25 - Lee Holmes - Get $pwnd: Attacking Battle Hardened Windows Server" áttekintést nyújt azokról a problématípusokról, amelyek ellen védelmet nyújthat (különösen a 12:20-17:50 szakaszban):

Környezetvédelmi ajánlások

Az alábbi lista általános javaslatokat tartalmaz a PowerShell rendszergazdái számára:

• Telepítse a PowerShell legújabb, például 5-ös vagy újabb verzióját, amely be van építve a Windows 10 vagy újabb rendszerbe. Telepítheti a Windows Management Framework is.
• PowerShell-naplók engedélyezése és gyűjtése, beleértve a védett események naplózását is. Építse be ezeket a naplókat az aláírások, a keresés és az incidensválaszok munkafolyamataiba.
• A Just Enough Administration bevezetése a nagy értékű rendszereken a korlátlan rendszergazdai hozzáférés megszüntetéséhez vagy csökkentéséhez.
• Windows Defender alkalmazásvezérlési házirendeket telepíthet, hogy az előre jóváhagyott felügyeleti feladatok a PowerShell nyelv teljes képességeit használhassák, miközben az interaktív és nem jóváhagyott használatot a PowerShell nyelv korlátozott részhalmazára korlátozza.
• Telepítse a Windows 10-et vagy újabb verziót, hogy a víruskereső szolgáltatója teljes hozzáférést biztosítson a Windows parancsfájl-kezelő állomások (többek között a PowerShellt is beleértve) feldolgozott összes tartalomhoz (beleértve a futásidőben generált vagy elrejtett tartalmat is).