analyzing-powershell-script-block-logging

Visão geral do skill analyzing-powershell-script-block-logging

O que este skill faz

O skill analyzing-powershell-script-block-logging ajuda você a analisar eventos de Windows PowerShell Script Block Logging (Event ID 4104) a partir de arquivos EVTX, reconstruir script blocks divididos e sinalizar padrões maliciosos comuns, como -EncodedCommand, Invoke-Expression, download cradles, tentativas de bypass do AMSI e outras técnicas living-off-the-land.

Quem deve usar

Ele é uma ótima opção para analistas de SOC, threat hunters, profissionais de DFIR e qualquer pessoa que esteja fazendo uma Security Audit de endpoints Windows ou logs de servidor. Se você precisa de uma forma repetível de revisar atividade de PowerShell com base em telemetria, em vez de tentar adivinhar a partir de uma única linha de comando, este skill é útil.

Por que ele é diferente

O skill analyzing-powershell-script-block-logging não é apenas um prompt genérico para “inspecionar logs”. Ele foi construído em torno da estrutura do Event 4104, da reconstrução de partes múltiplas e de heurísticas orientadas a detecção vindas do script e do material de referência do repositório. Isso o torna mais prático para triagem de incidentes do que um prompt amplo de análise de PowerShell.

Como usar o skill analyzing-powershell-script-block-logging

Instale e localize os arquivos principais

Instale com:

npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-powershell-script-block-logging

Para começar mais rápido, leia primeiro skills/analyzing-powershell-script-block-logging/SKILL.md, depois references/api-reference.md e, em seguida, scripts/agent.py. Esses três arquivos mostram a estrutura esperada dos logs, a abordagem de parsing e a lógica de detecção.

Forneça a entrada certa para o skill

Este skill funciona melhor quando você informa: a fonte EVTX, o contexto do incidente, a janela de tempo e o que você quer decidir. Um pedido fraco é “analise este log”. Um prompt mais forte é: “Use analyzing-powershell-script-block-logging em Microsoft-Windows-PowerShell%4Operational.evtx de 2024-01-15 10:00–11:00 UTC e identifique quaisquer entradas Event ID 4104 com obfuscação, payloads codificados ou comportamento de downloader”.

Use um fluxo de trabalho que combine com o repositório

Comece confirmando se o Event 4104 está presente, depois reconstrua quaisquer grupos multi-part de ScriptBlockId e, em seguida, revise padrões suspeitos e conecte os achados ao ScriptBlockText original. Se você estiver seguindo um fluxo de uso do analyzing-powershell-script-block-logging para Security Audit, peça tanto as detecções quanto as lacunas de cobertura: o que foi sinalizado, o que não foi, e quais comandos precisam de revisão manual.

Leia o material de referência na ordem certa

references/api-reference.md é o melhor lugar para entender nomes de campos como ScriptBlockText, ScriptBlockId, MessageNumber e MessageTotal. scripts/agent.py é útil para ver o conjunto real de padrões, a lógica de confiança e os tipos de comportamento de PowerShell que o skill trata como de alto risco.

Perguntas frequentes sobre o skill analyzing-powershell-script-block-logging

Isso é só para resposta a incidentes?

Não. Ele também se encaixa bem em hardening de base, engenharia de detecção e validação de controles. Se o seu objetivo é entender como a telemetria de PowerShell sustenta a detecção, o guia analyzing-powershell-script-block-logging ainda pode ajudar mesmo sem um incidente ativo.

Posso usar isso como um prompt normal em vez de um skill?

Pode, mas normalmente você terá uma saída menos consistente. O skill oferece um caminho estruturado para analisar dados do Event 4104, reconstruir blocos divididos e verificar padrões suspeitos conhecidos, o que é mais confiável do que pedir a um modelo geral para “procurar PowerShell malicioso”.

Quais são as principais limitações?

Ele depende de o Script Block Logging estar habilitado e de o arquivo EVTX conter os eventos relevantes. Ele também é orientado a detecção, então scripts administrativos incomuns, mas benignos, podem aparecer e ainda precisar do julgamento do analista.

É amigável para iniciantes?

Sim, se você conhece conceitos básicos de logging no Windows e consegue fornecer um arquivo de log ou um cenário preciso. Ele é menos adequado se você não sabe de onde veio o log PowerShell Operational ou não consegue confirmar que o Event 4104 foi coletado.

Como melhorar o skill analyzing-powershell-script-block-logging

Forneça contexto que muda a análise

O maior ganho de qualidade vem de adicionar função do host, contexto do usuário e a faixa exata de horário. “Domain controller, conta admin, 14:20–14:40 UTC, triagem pós-phishing” é muito mais útil do que apenas um caminho bruto de EVTX.

Peça tanto os achados quanto a reconstrução

Para um uso melhor do analyzing-powershell-script-block-logging, solicite explicitamente scripts reconstruídos, indicadores suspeitos e uma justificativa curta para cada acerto. Isso força a saída a conectar fragmentos em uma história completa de PowerShell, em vez de listar bandeiras isoladas.

Fique atento aos modos de falha comuns

As falhas mais comuns são script blocks truncados, payloads divididos que não são remontados na ordem correta e rotulagem confiante demais de automação legítima como maliciosa. Se o primeiro resultado parecer superficial, peça ao skill para conferir novamente a ordem de MessageNumber, comparar valores repetidos de ScriptBlockId e separar “suspeito” de “confirmado”.

Itere com prompts de acompanhamento direcionados

Um bom prompt de segunda passada é: “Reordene os eventos 4104 por probabilidade de uso malicioso, explique quais detecções foram motivadas por -EncodedCommand, FromBase64String ou comportamento de downloader e observe quaisquer scripts administrativos benignos que pareçam semelhantes.” Esse tipo de iteração torna o skill analyzing-powershell-script-block-logging mais útil para decisões de Security Audit e para revisão mais rápida do analista.