Tutoriel 📝 Auditer la sécurité PowerShell avec des scripts d'analyse (Windows)

[Sylvain*]

Auditer la sécurité PowerShell avec des scripts d'analyse (Windows)

Introduction

Ce tutoriel explique comment auditer le renforcement des sessions PowerShell avec des scripts d'analyse de sécurité sous Windows. PowerShell étant un outil puissant, il est crucial de surveiller son utilisation pour détecter toute activité malveillante ou non autorisée.

---

Prérequis

• Un ordinateur sous Windows 10 ou 11 avec les droits d'administrateur.

• PowerShell v5.1 ou ultérieur.

• Connaissance de base en scripting PowerShell.

---

Méthode 1 : Analyser les journaux d'événements Windows

Windows enregistre les événements PowerShell dans le journal des événements. Vous pouvez utiliser des scripts pour analyser ces journaux et extraire des informations pertinentes.

Étapes à suivre pour la méthode 1

• Ouvrez PowerShell en tant qu'administrateur.

• Utilisez la commande

Get-WinEvent

pour récupérer les événements du journal "Microsoft-Windows-PowerShell/Operational".

• Filtrez les événements en fonction de l'ID d'événement, de la date, de l'utilisateur, etc.

• Exemple de script pour récupérer tous les événements PowerShell des dernières 24 heures :

Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-PowerShell/Operational"; StartTime=(Get-Date).AddDays(-1)}

---

Méthode 2 : Utiliser le module PowerShell "ScriptBlockLogging"

Le module "ScriptBlockLogging" permet de journaliser les scripts PowerShell exécutés sur un système.

Étapes à suivre pour la méthode 2

• Activez la journalisation des blocs de script via la stratégie de groupe ou en utilisant la commande

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

.

• Configurez le module "ScriptBlockLogging" pour enregistrer les informations souhaitées (commande exécutée, utilisateur, date, etc.).

• Analysez les journaux générés par le module "ScriptBlockLogging".

---

Avantages des 2 méthodes

Avantage de la méthode 1

Simple à mettre en œuvre, ne nécessite pas de modules supplémentaires.

Avantage de la méthode 2

Offre une journalisation plus détaillée des scripts exécutés.

---

Inconvénients des 2 méthodes

Inconvénient de la méthode 1

Les informations disponibles dans les journaux d'événements peuvent être limitées.

Inconvénient de la méthode 2

Nécessite la configuration du module "ScriptBlockLogging".

---

Astuce

Utilisez des outils d'analyse de sécurité et de SIEM pour centraliser et analyser les journaux PowerShell.

---

Mise en garde

Assurez-vous de respecter les politiques de sécurité et de confidentialité lors de la collecte et de l'analyse des journaux.

---

Conseil

Automatisez l'analyse des journaux PowerShell pour détecter les anomalies en temps réel.

---

Solution alternative

Utilisez des solutions de sécurité tierces, telles que Microsoft Defender for Endpoint, pour surveiller et analyser l'activité PowerShell.

• https://www.microsoft.com/fr-fr/security/business/endpoint-security/microsoft-defender-endpoint

---

Conclusion

---

L'audit du renforcement des sessions PowerShell est essentiel pour garantir la sécurité de votre environnement Windows. En utilisant des scripts d'analyse et en analysant les journaux d'événements, vous pouvez détecter et prévenir les activités malveillantes.