Архитектура аудита PowerShell (AMSI / Script Block)

Событие 4104 логируется в специальном журнале Microsoft-Windows-PowerShell/Operational. Сообщение: «Создание блока сценария... (Scriptblock text)». Это Святой Грааль информационной безопасности. Современные хакеры и вирусы почти не используют .exe файлы. Они используют бесфайловые атаки (Fileless Malware), загружая вредоносные скрипты PowerShell прямо в оперативную память. Обычный аудит процессов (4688) покажет только запуск powershell.exe. Но событие 4104 покажет весь исходный код скрипта, который был запущен.

Деобфускация (AMSI)

Уникальная особенность 4104 (начиная с PowerShell 5.0) — интеграция с AMSI. Даже если хакер зашифровал свой скрипт в Base64 или использовал сложную обфускацию (запутывание), PowerShell ядро (Engine) обязано расшифровать его перед выполнением. Именно расшифрованный, чистый вредоносный код попадет в текст события 4104.

Пошаговое дерево решений (Настройка и Threat Hunting)

Сценарий 1: Включение аудита Script Block Logging (GPO)

По умолчанию Windows логирует в 4104 только те скрипты, которые покажутся подозрительными встроенному Defender. Нам нужно логировать 100% скриптов.

1. Откройте gpmc.msc.
2. Перейдите: Конфигурация компьютера -> Адм. шаблоны -> Компоненты Windows -> Windows PowerShell.
3. Найдите политику Включить ведение журнала блоков сценариев PowerShell (Turn on PowerShell Script Block Logging).
4. Включите политику. Дополнительно поставьте галочку Log script block invocation start/stop events.
5. Выполните gpupdate /force на серверах.

Сценарий 2: Поиск вредоносных команд (Threat Hunting)

Вы можете проактивно искать маркеры работы Mimikatz, BloodHound или команд скачивания вирусов в сыром коде скриптов.

# Ищем вызовы Invoke-WebRequest, IEX, Net.WebClient, Mimikatz
$MalwareTerms = 'Invoke-Mimikatz|IEX|Net.WebClient|DownloadString|System.Reflection.Assembly|VirtualAlloc'
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; ID=4104} | 
    Where-Object {$_.Properties[2].Value -match $MalwareTerms} | 
    Select-Object TimeCreated, 
    @{N='ScriptBlockText';E={$_.Properties[2].Value}} | Format-List

Сценарий 3: Защита от отключения (Downgrade Attacks)

Хакеры знают про 4104. Они используют атаку понижения версии (Downgrade Attack), запуская powershell.exe -version 2.0. Старый PowerShell 2.0 не умеет писать 4104 и слеп к аудиту.

Решение: Полностью удалите компонент PowerShell 2.0 из Windows Server через Server Manager (Удаление ролей и компонентов).

Типовые ошибки администраторов

• Отказ от сбора логов Operational: Большинство администраторов настраивают SIEM на сбор только журналов System и Security. В результате они вообще не видят логи PowerShell. Обязательно добавьте канал Microsoft-Windows-PowerShell/Operational в настройки вашего WEF (Event Forwarding).