标签: analytics - 叹为观止

2026-01-26发表2026-05-01更新powershell / tip14 分钟读完 (大约2076个字)

适用于 PowerShell 5.1 及以上版本

日志是系统运维和安全取证的基石。Windows 事件日志、IIS 日志、应用程序日志中隐藏着故障根因和安全威胁的关键线索。当系统出现异常行为或发生安全事件时，快速定位和分析日志数据是响应的第一步。

传统的日志分析往往依赖图形界面的事件查看器或第三方 SIEM 工具，但它们在面对大规模日志数据或需要自定义分析逻辑时显得力不从心。PowerShell 提供了 Get-WinEvent、Get-EventLog（旧版）以及强大的对象管道，让我们能够以脚本化的方式高效收集、过滤、关联和可视化日志数据。

本文将从三个层面展开：首先是 Windows 安全事件日志的审计分析，其次是跨日志源的关联与异常检测，最后是自动化取证报告的生成。掌握这些技能后，你可以在安全事件响应、合规审计和故障排查中大幅提升效率。

Windows 事件日志审计

Windows 安全日志是取证分析的首要数据源。以下脚本演示了如何批量提取登录失败事件、追踪特权使用情况，并按频率统计可疑账户。

# 定义分析时间范围
$StartTime = (Get-Date).AddDays(-7)
$EndTime = Get-Date

# 提取安全日志中的登录失败事件（Event ID 4625）
$LoginFailures = Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4625
    StartTime = $StartTime
    EndTime   = $EndTime
} -ErrorAction SilentlyContinue | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $targetUser = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
    $sourceIP = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'IpAddress' }).'#text'
    $logonType = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'LogonType' }).'#text'

    [PSCustomObject]@{
        Time     = $_.TimeCreated
        User     = $targetUser
        SourceIP = $sourceIP
        LogonType = $logonType
    }
}

# 统计失败登录次数最多的账户
$LoginFailures | Group-Object User |
    Sort-Object Count -Descending |
    Select-Object Count, Name -First 10 |
    Format-Table -AutoSize

# 提取特权使用事件（Event ID 4672）
$PrivilegeUse = Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4672
    StartTime = $StartTime
    EndTime   = $EndTime
} -ErrorAction SilentlyContinue | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $subjectUser = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'SubjectUserName' }).'#text'
    $privileges = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'PrivilegeList' }).'#text'

    [PSCustomObject]@{
        Time       = $_.TimeCreated
        Account    = $subjectUser
        Privileges = $privileges
    }
}

# 输出特权使用摘要
$PrivilegeUse | Group-Object Account |
    Select-Object Count, Name |
    Sort-Object Count -Descending |
    Format-Table -AutoSize

执行结果示例：

Count Name
----- ----
   47 Administrator
   12 backupsvc
    8 testuser
    3 jdoe
    1 LOCAL SERVICE

Count Name
----- ----
  156 Administrator
   23 SYSTEM
    8 backupsvc
    2 NETWORK SERVICE

从结果可以看到 Administrator 账户在一周内有 47 次登录失败，值得进一步调查。同时特权使用频率也显示该账户活动异常频繁。

日志关联与异常检测

单一日志源往往无法呈现完整的安全图景。以下脚本展示如何将安全日志、系统日志和 PowerShell 脚本块日志进行关联，建立时间线并检测统计异常。

# 收集多日志源数据并建立统一时间线
$TimeRange = @{
    StartTime = (Get-Date).AddDays(-3)
    EndTime   = Get-Date
}

# 安全日志：账户管理变更（Event ID 4720 创建、4726 删除、4728 加入管理员组）
$AccountChanges = Get-WinEvent -FilterHashtable @{
    LogName = 'Security'; Id = 4720, 4726, 4728; @TimeRange
} -ErrorAction SilentlyContinue | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $targetAccount = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
    [PSCustomObject]@{
        Time   = $_.TimeCreated
        Source = 'Security'
        Event  = "AccountChange($($_.Id))"
        Detail = $targetAccount
    }
}

# 系统日志：服务安装和驱动加载
$SystemEvents = Get-WinEvent -FilterHashtable @{
    LogName = 'System'; Id = 7045, 7036; @TimeRange
} -ErrorAction SilentlyContinue | ForEach-Object {
    [PSCustomObject]@{
        Time   = $_.TimeCreated
        Source = 'System'
        Event  = if ($_.Id -eq 7045) { 'NewService' } else { 'ServiceStateChange' }
        Detail = $_.Message.Substring(0, [Math]::Min(80, $_.Message.Length))
    }
}

# PowerShell 脚本块日志（Event ID 4104）
$PSLogs = Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-PowerShell/Operational'; Id = 4104; @TimeRange
} -ErrorAction SilentlyContinue | ForEach-Object {
    [PSCustomObject]@{
        Time   = $_.TimeCreated
        Source = 'PowerShell'
        Event  = 'ScriptBlock'
        Detail = $_.Message.Substring(0, [Math]::Min(80, $_.Message.Length))
    }
}

# 合并时间线并按时间排序
$Timeline = $AccountChanges + $SystemEvents + $PSLogs |
    Sort-Object Time |
    Select-Object Time, Source, Event, Detail

# 显示最近 20 条时间线事件
$Timeline | Select-Object -Last 20 | Format-Table -Wrap

# 统计异常检测：每小时事件数量，标记超过 2 个标准差的时间段
$HourlyStats = $Timeline | Group-Object { $_.Time.ToString('yyyy-MM-dd HH:00') } |
    ForEach-Object { [PSCustomObject]@{ Hour = $_.Name; Count = $_.Count } }

$Mean = ($HourlyStats | Measure-Object Count -Average).Average
$StdDev = [Math]::Sqrt(
    ($HourlyStats | ForEach-Object { [Math]::Pow($_.Count - $Mean, 2) } | Measure-Object -Average).Average
)

$HourlyStats | ForEach-Object {
    $isAnomaly = $_.Count -gt ($Mean + 2 * $StdDev)
    [PSCustomObject]@{
        Hour    = $_.Hour
        Count   = $_.Count
        Anomaly = if ($isAnomaly) { '*** ALERT ***' } else { '' }
    }
} | Format-Table -AutoSize

执行结果示例：

Time                  Source    Event              Detail
----                  ------    -----              ------
2026-01-25 14:22:01   Security  AccountChange(4720) svc-backup
2026-01-25 14:22:05   System    NewService         A service was installed in the system....
2026-01-25 14:23:10   PowerShell ScriptBlock        Invoke-WebRequest -Uri http://10.0.0.5/...
2026-01-25 15:01:33   Security  AccountChange(4728) svc-backup
2026-01-25 16:45:12   System    ServiceStateChange The Background Intelligent Transfer Ser...

Hour            Count Anomaly
----            ----- -------
2026-01-23 08   34
2026-01-23 09   41
2026-01-23 10   28
2026-01-24 02   112  *** ALERT ***
2026-01-24 03   98   *** ALERT ***
2026-01-24 09   37
2026-01-25 14   67   *** ALERT ***

凌晨 2 点和 3 点的事件量远高于平均水平，这在正常业务场景中极其可疑，需要重点排查该时间段的所有活动。

取证报告生成

分析完成后，生成结构化的取证报告是交付成果的关键步骤。以下脚本将分析结果整理为包含时间线、IOC 提取和可视化汇总的 HTML 报告。

# 定义报告参数
$ReportPath = "$env:TEMP\ForensicReport_$(Get-Date -Format 'yyyyMMdd_HHmmss').html"
$AnalysisPeriod = "$((Get-Date).AddDays(-7).ToString('yyyy-MM-dd')) 至 $((Get-Date).ToString('yyyy-MM-dd'))"

# 收集关键 IOC（Indicators of Compromise）
$SuspiciousIPs = $LoginFailures |
    Where-Object { $_.SourceIP -and $_.SourceIP -ne '-' -and $_.SourceIP -ne '::1' } |
    Group-Object SourceIP |
    Where-Object { $_.Count -gt 5 } |
    Select-Object @{N = 'Indicator'; E = { $_.Name } }, @{N = 'Occurrences'; E = { $_.Count } }

$SuspiciousAccounts = $LoginFailures |
    Group-Object User |
    Where-Object { $_.Count -gt 10 } |
    Select-Object @{N = 'Indicator'; E = { "Account: $($_.Name)" } }, @{N = 'Occurrences'; E = { $_.Count } }

$AllIOCs = $SuspiciousIPs + $SuspiciousAccounts

# 生成 HTML 报告
$HtmlHeader = @"
<!DOCTYPE html>
<html lang="zh-CN">
<head>
<meta charset="UTF-8">
<title>取证分析报告 - $AnalysisPeriod</title>
<style>
body { font-family: 'Segoe UI', sans-serif; margin: 20px; background: #f5f5f5; }
h1 { color: #d32f2f; border-bottom: 2px solid #d32f2f; padding-bottom: 8px; }
h2 { color: #1565c0; margin-top: 24px; }
table { border-collapse: collapse; width: 100%; margin: 12px 0; background: #fff; }
th { background: #1565c0; color: #fff; padding: 8px 12px; text-align: left; }
td { padding: 8px 12px; border-bottom: 1px solid #ddd; }
tr:nth-child(even) { background: #f9f9f9; }
.alert { color: #d32f2f; font-weight: bold; }
.summary { background: #fff; padding: 16px; border-radius: 4px; margin: 12px 0; }
</style>
</head>
<body>
<h1>取证分析报告</h1>
<div class="summary">
<strong>分析周期：</strong>$AnalysisPeriod<br>
<strong>生成时间：</strong>$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')<br>
<strong>登录失败事件：</strong>$($LoginFailures.Count) 条<br>
<strong>异常时段：</strong>$($HourlyStats | Where-Object { $_.Count -gt ($Mean + 2 * $StdDev) }).Count) 个
</div>
"@

# 构建 IOC 表格
$IocTable = $AllIOCs | ForEach-Object {
    "<tr><td>$($_.Indicator)</td><td>$($_.Occurrences)</td></tr>"
} | Out-String

$HtmlBody = @"
<h2>威胁指标 (IOCs)</h2>
<table><tr><th>指标</th><th>出现次数</th></tr>$IocTable</table>

<h2>时间线摘要（最近事件）</h2>
<table><tr><th>时间</th><th>来源</th><th>事件</th></tr>
$(
    $Timeline | Select-Object -Last 15 | ForEach-Object {
        "<tr><td>$($_.Time.ToString('yyyy-MM-dd HH:mm:ss'))</td><td>$($_.Source)</td><td>$($_.Event)</td></tr>"
    } | Out-String
)
</table>

<h2>统计概览</h2>
<p>每小时平均事件数：<strong>$([Math]::Round($Mean, 1))</strong></p>
<p>标准差：<strong>$([Math]::Round($StdDev, 1))</strong></p>
<p>异常阈值（Mean + 2*Sigma）：<strong>$([Math]::Round($Mean + 2 * $StdDev, 1))</strong></p>
</body></html>
"@

$HtmlHeader + $HtmlBody | Out-File -FilePath $ReportPath -Encoding UTF8
Write-Host "取证报告已生成：$ReportPath"

执行结果示例：

1	取证报告已生成：C:\Users\admin\AppData\Local\Temp\ForensicReport_20260126_103022.html

生成的 HTML 报告包含完整的威胁指标表格、时间线摘要和统计概览，可以直接在浏览器中打开查看，也可作为合规审计的附件存档。

注意事项

管理员权限要求：访问安全日志（Security Log）需要以管理员身份运行 PowerShell，普通用户只能查看应用程序和系统日志。建议使用 Start-Process powershell -Verb RunAs 提权后执行分析脚本。
日志大小与性能：Get-WinEvent 在处理大量日志时可能消耗较多内存。对于跨月或跨年的分析，建议分批查询或使用 -MaxEvents 参数限制返回数量，避免内存溢出。
时间同步的重要性：跨服务器的日志关联分析要求所有机器的时钟保持同步（NTP）。如果时间偏差超过数秒，关联结果可能不准确，建议先验证各机器的时区和时间同步状态。
日志保留策略：Windows 默认的安全日志最大大小为 20MB，可能在繁忙环境中只保留数天数据。建议通过组策略将日志最大大小调整为 1GB 以上，并启用日志转发（Event Forwarding）集中存储。
PowerShell 脚本块日志的隐私考量：脚本块日志（Event ID 4104）会记录执行的代码内容，可能包含密码等敏感信息。在取证环境中这是优势，但在日常运维中需注意合规要求，评估是否需要启用受保护事件日志（Protected Event Logging）。
报告存储与链式保管：取证报告应保存在不可篡改的存储介质上，记录哈希值（如 Get-FileHash 计算的 SHA256）以确保完整性。同时保留原始日志的导出副本（.evtx 文件），以满足法律证据链的要求。

Windows 事件日志审计

日志关联与异常检测

取证报告生成

注意事项

链接

分类

最新文章

归档

标签