[發(fā)明專利]一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法

在審

• 申請?zhí)枺?/td>: 202111289226.4
• 申請日: 2021-11-02
• 公開（公告）號: CN113987494A
• 公開（公告）日: 2022-01-28
• 發(fā)明（設(shè)計）人: 劉慶林;安恩慶;王奮凱;李微著;魏海宇;劉海洋;周鵬;馬偉利;吳小勇;李小瓊
• 申請（專利權(quán)）人: 北京中睿天下信息技術(shù)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/57
• 代理公司: 北京知呱呱知識產(chǎn)權(quán)代理有限公司 11577
• 代理人: 張永維

1.一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述方法為：

收集常見利用powershell編寫的工具，根據(jù)工具利用方式進(jìn)行整理；

通過使用轉(zhuǎn)儲文件提取powershell歷史記錄；

后臺整理對比之前收集的利用powershell執(zhí)行的工具，通過對比出的命令確定攻擊者使用powershell工具獲取并留下的后門；

通過對比找到后門并根據(jù)發(fā)現(xiàn)的攻擊后門對終端進(jìn)行加固。

2.如權(quán)利要求1所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述收集常見利用powershell編寫的工具用于信息探測、特權(quán)提升、憑證竊取、持久化操作。

3.如權(quán)利要求1所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述powershell將歷史記錄存儲在Historyinfo對象中，使用！DumpHeap Type HistoryInfo命令將HistoryInfo信息找出。

4.如權(quán)利要求3所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述Historyinfo對象中輸入命令！DumpHeap/d-mt00007fffa5974008，生成地址列表，執(zhí)行地址address點(diǎn)擊指令，查看內(nèi)核命令行cmdline。

5.如權(quán)利要求4所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述地址列表中，點(diǎn)擊000001811c951df8，得到一條powershell命令。

6.如權(quán)利要求4所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述內(nèi)核命令行cmdline的偏移量進(jìn)行查看，輸出相關(guān)指令，獲取整個歷史命令進(jìn)行查看。

7.如權(quán)利要求6所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述獲取的整個歷史命令對比powershell滲透工具，通過執(zhí)行的命令分析出攻擊者使用工具具體做了哪些操作，然后通過分析命令的功能對終端進(jìn)行排查。

8.如權(quán)利要求7所述的一種基于windows日志及痕跡捕捉技術(shù)對powershell惡意活動的檢測方法，其特征在于，所述通過執(zhí)行的命令分析出攻擊者使用工具具體做了哪些操作后，對分析結(jié)果進(jìn)行展示，細(xì)化出具體的攻擊路徑和攻擊手段。