Powershellのnoninteractivemodeで何が動いているのか確認したい。

Question

Windows11Pro22H2を使用していますが、Powershellのnoninteractiveモードで動くコードの記録方法がわかりません。

知りたい理由は、誰かがネット経由で勝手にnoninteractiveモードでPowershellを実行するようですが、セキュリティソフトがPowershellに反応しても何のコードを実行されているのかわかりません。

Powershellがnoninteractivemodeで動いているという記録しか出さないので、その先何をしているのか分からないのです。

よろしくお願いします。

Answer 1

コマンドラインのオプションが表示されますね。。実行されている. ps1 が分かるかも。

あとはプロファイルに Start-Transcript (Microsoft.PowerShell.Host) - PowerShell | Microsoft Learn を構成して実行履歴を記録するとか。

Start-Transcript (Microsoft.PowerShell.Host) - PowerShell | Microsoft Learn

プロファイルについて - PowerShell | Microsoft Learn

Answer 2

Eventlogs について - PowerShell | Microsoft Learn

実行ポリシーを変更するなどして、PowerShellの実行状況をイベントログで確認すればいい。

Answer 3

その後、グループポリシーで取得したPowerShellの記録を見たらAMDのnoninteractiveの記録がとれていた感じがします。

肝心のセキュリティ上の疑念である誰かが実行していたと思われるPowerShellのnoninteractivemodeでの実行は起きていないのですが、とりあえず現状ではグループポリシーで記録しながら、ProcessExplorerも見てPowershellの記録も見ていこうと思います。

余談ですが、Homeでもグループポリシーは使えるようですが、やはり、OSはHomeではなくProfessionalにしておいてよかったと思いました。

簡単な質問に回答していただいて有難うございました。

Answer 4

タスクマネージャー等でコマンドラインを表示させても、ファイルパスが出るだけで打ち込んだコマンドは表示されないと思います。 何か間違っているのでしょうか。