Bereich 09 / 12
PowerShell-Sicherheit
PowerShell ist das beste Werkzeug des Administrators und das liebste des Angreifers. Statt es zu blockieren, macht dieser Bereich es transparent und begrenzt: Skriptblock-, Modul- und Transkriptionsprotokollierung, Entfernen der unprotokollierten PowerShell-2.0-Engine, durch Anwendungssteuerung erzwungener Constrained Language Mode und Just Enough Administration für delegierte Aufgaben.
Pfad startenLernpfad
0/4 erledigt- 01PowerShell-Sicherheit: Logging, v2-Entfernung, CLM und JEAPowerShell transparent und begrenzt machen: Skriptblock-, Modul- und Transkriptionsprotokollierung, PowerShell 2.0 entfernen, CLM per App Control, dazu JEA.
- 02Just Enough Administration (JEA) Schritt für SchrittJEA-Endpunkte bauen, die Operatoren genau die nötigen Befehle geben: Rollenfunktionsdateien, Sitzungskonfigurationen, virtuelle Konten, gMSAs und Überwachung.
- 03Bösartige PowerShell mit Skriptblockprotokollierung erkennenPowerShell-Protokolle zu Erkennungen machen: 4104-Skriptblöcke zusammensetzen, AMSI- und Engine-Ereignisse nutzen, Verschleierung erkennen, Admin-Rauschen filtern.
- 04WinRM und PowerShell-Remoting härtenWinRM absichern: Listener inventarisieren, Kerberos erzwingen, Basic, Digest und CredSSP sperren, HTTPS-Listener, TrustedHosts leer lassen, Firewall begrenzen.