Powershellのnoninteractivemodeで何が動いているのか確認したい。

Question

Windows11Pro22H2を使用していますが、Powershellのnoninteractiveモードで動くコードの記録方法がわかりません。

知りたい理由は、誰かがネット経由で勝手にnoninteractiveモードでPowershellを実行するようですが、セキュリティソフトがPowershellに反応しても何のコードを実行されているのかわかりません。

Powershellがnoninteractivemodeで動いているという記録しか出さないので、その先何をしているのか分からないのです。

よろしくお願いします。

Answer 1

コマンドラインのオプションが表示されますね。。実行されている. ps1 が分かるかも。

あとはプロファイルに Start-Transcript (Microsoft.PowerShell.Host) - PowerShell | Microsoft Learn を構成して実行履歴を記録するとか。

Start-Transcript (Microsoft.PowerShell.Host) - PowerShell | Microsoft Learn

プロファイルについて - PowerShell | Microsoft Learn

Answer 2

Eventlogs について - PowerShell | Microsoft Learn

実行ポリシーを変更するなどして、PowerShellの実行状況をイベントログで確認すればいい。

Answer 3

タスクマネージャーやProcessExplorerを見ても、powershell.exeが起動している事は確認出来てもどんなコマンドが実行されているかわかりません。 見方があるのでしょうか？

タスクマネージャーであれば [詳細] ページで列見出しを右クリック、「列の選択」から「コマンドライン」にチェックを入れる。

Process Explorer も同様。

Answer 4

タスクマネージャーやProcessExplorerを見ても、powershell.exeが起動している事は確認出来てもどんなコマンドが実行されているかわかりません。 見方があるのでしょうか？

グループポリシーの編集で"PowerShellトランスクリプションを有効にする"を有効にして呼び出しヘッダを含めるにチェックしました。ですが、PowerShellを自分で実行したときにnoninteractiveを付けて実行した時のコマンドの履歴が残っておりましたが、AMDが実行する物は履歴が残っておりません。AMDの物は、noninteractiveを付けていない物は記録されていると思いますが、付いている物は記録されないと思います。物によって記録されるものとされないものがあるのでしょうか。

Answer 5

タスクマネージャーや Process Explorer などを使って、当該の PowerShell プロセスの起動コマンドラインを確認してください。