PowerShell Empire アーティファクトの解析
概要
PowerShell Empire は、リスナー、ステージャー、エージェントで構成されるポストエクスプロイテーションフレームワークです。そのアーティファクトは、Windows イベントログ、特に PowerShell スクリプトブロックログ（イベントID 4104）およびモジュールログ（イベントID 4103）に検出可能な痕跡を残します。このスキルは、Empire のデフォルトランチャー文字列（powershell -noP -sta -w 1 -enc）、System.Net.WebClient および FromBase64String を含む Base64 エンコードペイロード、既知のモジュール呼び出し（Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation）、およびステージング URL パターンについてイベントログを解析します。
使用タイミング
- PowerShell Empire アーティファクトの解析が必要なセキュリティインシデントを調査する場合
- このドメインに関する検知ルールや脅威ハンティングクエリを作成する場合
- SOC アナリストがこの分析タイプの構造化された手順を必要とする場合
- 関連する攻撃テクニックに対するセキュリティ監視の適用範囲を検証する場合
前提条件
- Python 3.9 以上、Windows イベントログまたはエクスポートされた EVTX ファイルへのアクセス権
- グループポリシーにより有効化された PowerShell スクリプトブロックログ（イベントID 4104）
- 包括的なカバレッジのために有効化されたモジュールログ（イベントID 4103）
主要な検出パターン
- デフォルトランチャー —
powershell -noP -sta -w 1 -encに続く Base64 ブロブ - ステージャーインジケータ —
System.Net.WebClient、DownloadData、DownloadString、FromBase64String - モジュールシグネチャ — Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation、Invoke-PSInject、Invoke-DCOM
- ユーザーエージェント文字列 — HTTP リスナー設定におけるデフォルトの Empire ユーザーエージェント
- ステージング URL —
/login/process.php、/admin/get.phpおよび類似のデフォルト URI パターン
出力
一致した IOCs、デコードされた Base64 ペイロード、不審なイベントのタイムライン、MITRE ATT&CK テクニックマッピング、および重要度スコアを含む JSON レポート。