叹为观止

适用于 PowerShell 5.1 及以上版本（Windows）

安全事件响应（Incident Response）是企业安全运维中最关键的环节之一。当安全警报触发时，响应速度直接影响损失范围——根据 IBM 的《数据泄露成本报告》，平均响应时间每缩短一天，泄露成本可降低约 100 万美元。传统的手动排查方式耗时耗力，而且容易遗漏关键线索，特别是在攻击者已经横向移动的情况下。

PowerShell 作为 Windows 环境的原生脚本语言，天生具备深度系统访问能力，可以从事件日志、注册表、网络连接、进程树等多个维度快速采集取证数据。结合 2025 年企业安全场景中普遍面临的勒索软件、供应链攻击、凭证窃取等威胁，用 PowerShell 构建自动化事件响应流程不仅能提升效率，还能确保采集过程的标准化和可重复性。

今天是万圣节，让我们用 PowerShell 来对付那些比鬼魂更可怕的——系统里的安全威胁。本文将从实战角度出发，带你构建一套涵盖威胁检测、取证采集和自动处置的安全事件响应工具集。

场景一：实时威胁检测与告警

当安全事件发生时，第一步是快速确认威胁是否存在以及影响范围。下面的脚本会检查系统中常见的入侵指标（IOC），包括可疑进程、异常网络连接和近期创建的计划任务。

function Test-SecurityThreatIndicator {
    $report = [System.Text.StringBuilder]::new()
    $null = $report.AppendLine("=== 安全威胁检测报告 ===")
    $null = $report.AppendLine("扫描时间: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')")
    $null = $report.AppendLine()

    # 检查可疑进程（已知攻击工具特征）
    $suspiciousNames = @(
        'mimikatz', 'procdump', 'lazagne', 'nc.exe', 'ncat',
        'psexec', 'bloodhound', 'sharphound', 'rubeus', 'kekeo'
    )

    $null = $report.AppendLine("[可疑进程检查]")
    $foundSuspicious = $false
    $processes = Get-Process -ErrorAction SilentlyContinue
    foreach ($proc in $processes) {
        foreach ($name in $suspiciousNames) {
            if ($proc.ProcessName -like "*$name*") {
                $null = $report.AppendLine(
                    "  [!] 发现可疑进程: $($proc.ProcessName) " +
                    "(PID: $($proc.Id), 路径: $($proc.Path))"
                )
                $foundSuspicious = $true
            }
        }
    }
    if (-not $foundSuspicious) {
        $null = $report.AppendLine("  [OK] 未发现已知可疑进程")
    }

    # 检查异常出站网络连接
    $null = $report.AppendLine()
    $null = $report.AppendLine("[异常网络连接检查]")
    $connections = Get-NetTCPConnection -State Established -ErrorAction SilentlyContinue |
        Where-Object { $_.RemoteAddress -notmatch '^(127\.|0\.|::1|::$)' }

    $suspiciousPorts = @(4444, 5555, 6666, 7777, 8888, 9999, 1234, 31337)
    foreach ($conn in $connections) {
        if ($conn.RemotePort -in $suspiciousPorts) {
            $procInfo = try {
                (Get-Process -Id $conn.OwningProcess -ErrorAction Stop).ProcessName
            } catch {
                "未知"
            }
            $null = $report.AppendLine(
                "  [!] 可疑连接: $($conn.LocalAddress):$($conn.LocalPort) -> " +
                "$($conn.RemoteAddress):$($conn.RemotePort) (进程: $procInfo)"
            )
        }
    }

    # 检查近期创建的计划任务（24小时内）
    $null = $report.AppendLine()
    $null = $report.AppendLine("[近期计划任务检查 - 24小时内创建]")
    $cutoff = (Get-Date).AddHours(-24)
    $tasks = Get-ScheduledTask -ErrorAction SilentlyContinue |
        Where-Object { $_.Date -and $_.Date -gt $cutoff }
    foreach ($task in $tasks) {
        $null = $report.AppendLine(
            "  [!] 新任务: $($task.TaskName) " +
            "(状态: $($task.State), 创建时间: $($task.Date))"
        )
    }
    if (-not $tasks) {
        $null = $report.AppendLine("  [OK] 24小时内无新增计划任务")
    }

    $null = $report.AppendLine()
    $null = $report.AppendLine("=== 扫描完成 ===")
    return $report.ToString()
}

Test-SecurityThreatIndicator

执行结果示例：

=== 安全威胁检测报告 ===
扫描时间: 2025-10-31 14:23:05

[可疑进程检查]
  [OK] 未发现已知可疑进程

[异常网络连接检查]
  [!] 可疑连接: 192.168.1.105:49832 -> 10.0.0.88:4444 (进程: svchost)

[近期计划任务检查 - 24小时内创建]
  [!] 新任务: WindowsUpdateSync (状态: Ready, 创建时间: 2025/10/31 08:15:00)
  [!] 新任务: SystemHealthMonitor (状态: Ready, 创建时间: 2025/10/31 10:30:22)

=== 扫描完成 ===

在这个输出中可以看到一个连接到 4444 端口的可疑网络连接（4444 是 Metasploit 默认反向 shell 端口），以及两个近期新创建的计划任务——这些都是需要进一步调查的入侵指标。

场景二：自动取证数据采集

确认威胁后，下一步是采集取证数据用于分析。下面的脚本会自动收集 Windows 安全事件日志、用户登录记录和文件系统变更信息，并将结果打包保存。

function Start-ForensicDataCollection {
    param(
        [string]$OutputPath = "$env:TEMP\ForensicCollection_$(Get-Date -Format 'yyyyMMdd_HHmmss')"
    )

    $null = New-Item -Path $OutputPath -ItemType Directory -Force

    $collectionLog = [System.Text.StringBuilder]::new()
    $null = $collectionLog.AppendLine("取证采集开始: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')")
    $null = $collectionLog.AppendLine("输出目录: $OutputPath")
    $null = $collectionLog.AppendLine()

    # 采集一：导出安全事件日志（最近 7 天）
    $null = $collectionLog.AppendLine("[1/4] 采集安全事件日志...")
    $securityLogPath = Join-Path $OutputPath "SecurityEvents.csv"
    $startTime = (Get-Date).AddDays(-7)
    $events = Get-WinEvent -FilterHashtable @{
        LogName   = 'Security'
        StartTime = $startTime
    } -MaxEvents 5000 -ErrorAction SilentlyContinue

    $events | Select-Object TimeCreated, Id,
        @{N='Level';E={$_.LevelDisplayName}},
        @{N='User';E={$_.UserId}},
        Message |
        Export-Csv -Path $securityLogPath -NoTypeInformation -Encoding UTF8

    $null = $collectionLog.AppendLine(
        "  已导出 $($events.Count) 条安全事件到 SecurityEvents.csv"
    )

    # 采集二：收集成功登录记录（Event ID 4624）
    $null = $collectionLog.AppendLine("[2/4] 采集登录记录...")
    $logonPath = Join-Path $OutputPath "LogonRecords.csv"
    $logonEvents = $events |
        Where-Object { $_.Id -eq 4624 }

    $logonRecords = foreach ($evt in $logonEvents) {
        $xml = [xml]$evt.ToXml()
        $data = @{}
        foreach ($item in $xml.Event.EventData.Data) {
            $data[$item.Name] = $item.'#text'
        }
        [PSCustomObject]@{
            TimeCreated    = $evt.TimeCreated
            TargetUser     = $data['TargetUserName']
            LogonType      = $data['LogonType']
            SourceAddress  = $data['IpAddress']
            SourcePort     = $data['IpPort']
            AuthPackage    = $data['AuthenticationPackageName']
        }
    }
    $logonRecords | Export-Csv -Path $logonPath -NoTypeInformation -Encoding UTF8
    $null = $collectionLog.AppendLine(
        "  已导出 $($logonRecords.Count) 条登录记录到 LogonRecords.csv"
    )

    # 采集三：列出近期修改的高风险文件位置
    $null = $collectionLog.AppendLine("[3/4] 采集文件系统变更...")
    $fileChangesPath = Join-Path $OutputPath "FileChanges.csv"
    $criticalPaths = @(
        "$env:WINDIR\System32\drivers\etc",
        "$env:WINDIR\System32\WindowsPowerShell",
        "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
        "$env:WINDIR\Temp",
        "$env:TEMP"
    )

    $fileChanges = foreach ($path in $criticalPaths) {
        if (Test-Path $path) {
            Get-ChildItem -Path $path -Recurse -File -ErrorAction SilentlyContinue |
                Where-Object { $_.LastWriteTime -gt $startTime } |
                Select-Object FullName, Length, LastWriteTime, CreationTime
        }
    }
    $fileChanges | Export-Csv -Path $fileChangesPath -NoTypeInformation -Encoding UTF8
    $null = $collectionLog.AppendLine(
        "  已导出 $($fileChanges.Count) 个近期变更文件到 FileChanges.csv"
    )

    # 采集四：导出当前运行服务状态
    $null = $collectionLog.AppendLine("[4/4] 采集服务状态...")
    $servicePath = Join-Path $OutputPath "Services.csv"
    $services = Get-CimInstance -ClassName Win32_Service |
        Select-Object Name, DisplayName, State, StartMode,
        @{N='Path';E={$_.PathName}},
        @{N='Account';E={$_.StartName}}
    $services | Export-Csv -Path $servicePath -NoTypeInformation -Encoding UTF8
    $null = $collectionLog.AppendLine(
        "  已导出 $($services.Count) 个服务信息到 Services.csv"
    )

    # 生成采集报告摘要
    $null = $collectionLog.AppendLine()
    $null = $collectionLog.AppendLine("取证采集完成: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')")
    $summary = $collectionLog.ToString()
    $summary | Out-File -FilePath (Join-Path $OutputPath "CollectionLog.txt") -Encoding UTF8

    Write-Output $summary
    Write-Output "`n取证数据已保存到: $OutputPath"
}

Start-ForensicDataCollection

执行结果示例：

取证采集开始: 2025-10-31 14:35:12
输出目录: C:\Users\admin\AppData\Local\Temp\ForensicCollection_20251031_143512

[1/4] 采集安全事件日志...
  已导出 3247 条安全事件到 SecurityEvents.csv
[2/4] 采集登录记录...
  已导出 186 条登录记录到 LogonRecords.csv
[3/4] 采集文件系统变更...
  已导出 47 个近期变更文件到 FileChanges.csv
[4/4] 采集服务状态...
  已导出 215 个服务信息到 Services.csv

取证采集完成: 2025-10-31 14:35:58

取证数据已保存到: C:\Users\admin\AppData\Local\Temp\ForensicCollection_20251031_143512

脚本会在临时目录下创建一个带时间戳的文件夹，里面包含四个 CSV 文件和一个采集日志。这些数据可以直接交给安全分析团队，也可以导入 SIEM 系统做进一步关联分析。整个采集过程在管理员权限下运行，大约 1 分钟即可完成。

场景三：自动隔离与威胁阻断

当确认系统被入侵后，最紧急的操作是阻断攻击者的通信通道并防止横向移动。下面的脚本提供了网络隔离、账户锁定和持久化后门清除三大处置能力。

function Invoke-ThreatContainment {
    param(
        [switch]$BlockSuspiciousIPs,
        [switch]$DisableCompromisedAccounts,
        [switch]$RemovePersistence,
        [string[]]$MaliciousIPs = @()
    )

    $actionLog = [System.Text.StringBuilder]::new()
    $null = $actionLog.AppendLine("=== 威胁处置记录 ===")
    $null = $actionLog.AppendLine("执行时间: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')")
    $null = $actionLog.AppendLine()

    # 处置一：封禁可疑 IP 地址
    if ($BlockSuspiciousIPs -and $MaliciousIPs.Count -gt 0) {
        $null = $actionLog.AppendLine("[网络封禁] 封禁恶意 IP 地址")
        foreach ($ip in $MaliciousIPs) {
            $ruleName = "IR-Block-$($ip -replace '\.','_')"
            $existing = Get-NetFirewallRule -DisplayName $ruleName -ErrorAction SilentlyContinue
            if ($existing) {
                $null = $actionLog.AppendLine("  [SKIP] 规则已存在: $ruleName")
                continue
            }
            New-NetFirewallRule -DisplayName $ruleName `
                -Direction Outbound -Action Block `
                -RemoteAddress $ip -Protocol Any `
                -Description "事件响应自动封禁 - $(Get-Date -Format 'yyyy-MM-dd')" |
                Out-Null
            $null = $actionLog.AppendLine("  [OK] 已封禁出站连接: $ip")
        }
        $null = $actionLog.AppendLine()
    }

    # 处置二：禁用被盗用的本地账户
    if ($DisableCompromisedAccounts) {
        $null = $actionLog.AppendLine("[账户处置] 检查异常登录账户")
        $recentLogons = Get-WinEvent -FilterHashtable @{
            LogName   = 'Security'
            Id        = 4625
            StartTime = (Get-Date).AddHours(-1)
        } -ErrorAction SilentlyContinue

        $failedAccounts = [System.Collections.Generic.HashSet[string]]::new()
        foreach ($evt in $recentLogons) {
            $xml = [xml]$evt.ToXml()
            foreach ($item in $xml.Event.EventData.Data) {
                if ($item.Name -eq 'TargetUserName' -and $item.'#text') {
                    $null = $failedAccounts.Add($item.'#text')
                }
            }
        }

        # 失败次数超过阈值的账户视为可疑
        foreach ($account in $failedAccounts) {
            $localUser = Get-LocalUser -Name $account -ErrorAction SilentlyContinue
            if ($localUser -and $localUser.Enabled) {
                Disable-LocalUser -Name $account
                $null = $actionLog.AppendLine(
                    "  [!] 已禁用可疑账户: $account (近期多次登录失败)"
                )
            }
        }
        $null = $actionLog.AppendLine()
    }

    # 处置三：清除持久化后门
    if ($RemovePersistence) {
        $null = $actionLog.AppendLine("[持久化清除] 检查常见持久化位置")

        # 检查启动项注册表
        $runKeys = @(
            'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run',
            'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce',
            'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'
        )
        $knownGoodEntries = @('SecurityHealth', 'SysTrayApp', 'OneDrive')
        foreach ($key in $runKeys) {
            if (Test-Path $key) {
                $entries = Get-ItemProperty -Path $key -ErrorAction SilentlyContinue
                $props = $entries.PSObject.Properties |
                    Where-Object {
                        $_.Name -notin @('PSPath','PSParentPath','PSChildName','PSDrive','PSProvider') -and
                        $_.Name -notin $knownGoodEntries
                    }
                foreach ($prop in $props) {
                    $null = $actionLog.AppendLine(
                        "  [!] 可疑启动项: $($prop.Name) = $($prop.Value)"
                    )
                }
            }
        }
        $null = $actionLog.AppendLine()
    }

    $null = $actionLog.AppendLine("=== 处置完成 ===")
    $result = $actionLog.ToString()
    Write-Output $result

    # 将处置记录保存到安全日志目录
    $logDir = "C:\IR_Logs"
    if (-not (Test-Path $logDir)) {
        $null = New-Item -Path $logDir -ItemType Directory -Force
    }
    $result | Out-File -FilePath "$logDir\ActionLog_$(Get-Date -Format 'yyyyMMdd_HHmmss').txt" -Encoding UTF8
}

# 示例调用：封禁可疑 IP 并清除持久化后门
Invoke-ThreatContainment `
    -BlockSuspiciousIPs `
    -MaliciousIPs @('10.0.0.88', '192.168.100.200', '203.0.113.50') `
    -RemovePersistence

执行结果示例：

=== 威胁处置记录 ===
执行时间: 2025-10-31 14:42:18

[网络封禁] 封禁恶意 IP 地址
  [OK] 已封禁出站连接: 10.0.0.88
  [OK] 已封禁出站连接: 192.168.100.200
  [OK] 已封禁出站连接: 203.0.113.50

[持久化清除] 检查常见持久化位置
  [!] 可疑启动项: WindowsUpdate = C:\Users\Public\update.exe
  [!] 可疑启动项: SvchostHelper = C:\ProgramData\svchost.bat

=== 处置完成 ===

脚本通过 Windows 防火墙规则封禁了三个恶意 IP 的出站连接，同时在注册表启动项中发现了两个可疑条目——一个伪装成 Windows Update 的可执行文件和一个 svchost 辅助脚本。这些信息需要进一步分析确认，但第一时间阻断网络通道可以有效阻止数据外泄和远程控制。

注意事项

1. 权限要求：安全事件日志的读取和防火墙规则操作需要管理员权限。建议以提升权限的 PowerShell 会话运行这些脚本，或者通过 WinRM 远程执行时确保会话凭据具有本地管理员权限。

2. 事件日志大小：如果安全事件日志配置为按需覆盖或日志量极大，Get-WinEvent 可能返回大量数据。建议使用 -MaxEvents 参数限制返回数量，并在过滤条件中加入时间范围，避免内存溢出。

3. 取证完整性：采集取证数据时务必注意操作顺序——先采集后处置。一旦封禁 IP 或禁用账户，攻击者可能触发自毁机制删除痕迹。优先采集内存镜像和日志，再执行阻断操作。

4. 误封风险：自动封禁 IP 地址存在误伤业务系统的风险。建议将封禁逻辑与资产白名单结合，先排除内部合法服务器 IP，再执行封禁。封禁后持续监控业务连接是否受影响。

5. 日志保护：事件响应操作本身也会产生日志记录，这是好事——确保操作可审计。但攻击者也可能尝试清除日志。建议在处置流程中增加一步：将关键日志导出到只读共享或集中式日志平台。

6. 脚本安全存储：这些响应脚本包含敏感的安全检测逻辑和处置动作，应存储在受控的代码仓库中，避免被攻击者预先研究。在生产环境中使用时，建议通过 DSC 或 CI/CD 管道分发，而不是直接在目标系统上留存脚本文件。

万圣节的鬼怪不过是一晚的恶作剧，但安全威胁可能在你毫无察觉时潜伏数周。掌握 PowerShell 自动化事件响应，让安全团队拥有比驱魔人更可靠的武器。祝大家在这个万圣节既没有鬼敲门，也没有警报响。