アクセスログの意味について

Question

セキュリティソフトのログを見ていて疑問に思いましたが、このアクセスがあったら何が起こったのでしょうか？
>C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\PowerShell\ModuleAnalysisCache

PowerShellのモジュール分析キャッシュという事だと思うのですが、この説明ではよく分かりません。
https://docs.microsoft.com/ja-jp/powershell/scripting/windows-powershell/wmf/whats-new/release-notes?view=powershell-7.1#module-analysis-cache
https://jpcertcc.github.io/ToolAnalysisResultSheet_jp/details/Find-GPOPasswords.htm

Answer 1

そうでしたか。

ログから、PowerShellの何らかのコマンドが実行されたと思っていますが、残念ですが、何が行われたか分からないので気になっていました。

ありがとうございました。

Answer 2

これだけじゃどのようなコマンドが実行されたかは分からないですね。

ご利用のセキュリティ ソリューションにその機能が無ければログからは分からないでしょう。

PowerShell の実行履歴を確認したければ、以下のポリシーを使われると良いでしょう。

PowerShell トランスクリプションを有効にする (admx.help)

Answer 3

ご回答頂きありがとうございます。

そうなりますと、このログだけでは何らかのコマンド処理が行われたがどんな処理が行われたかまでは不明という事でしょうか。

もし、どんな処理が行われたか分からないとすれば、今後、同じことが起こった場合に処理過程を可視化する方法はあるのでしょうか。

セキュリティソフトを見ても、そういう事ができるようにはなっていないようです。

Answer 4

PowerShell のコマンドレットは役割や目的ごとに「モジュール」としてまとめられており、モジュール単位で追加したり（追加したものについては）不要なものを削除したりできます。

このモジュールにどのようなコマンドレットが含まれているか、コマンドの実行時に解析が行われ、実行しようとしたコマンドが検索されます。この解析に時間がかかるので、解析結果がキャッシュされます。これが「モジュール分析キャッシュ」です。

ここへのアクセスがあるということは、何らかの PowerShell コマンドの実行が行われたということでしょう。

• WMF 5.x のリリース ノート - PowerShell | Microsoft Docs
• PowerShell モジュールの作成に関する考慮事項 | Microsoft Docs
• WMF 5.1 の PowerShell エンジン機能強化 - PowerShell | Microsoft Docs