PowerShell Empire 아티팩트 분석은(는) 무엇을 하나요?
개요
PowerShell Empire은 리스너, 스테이저, 에이전트로 구성된 사후 침투 프레임워크입니다. 이 프레임워크의 아티팩트는 Windows 이벤트 로그, 특히 PowerShell Script Block Logging(이벤트 ID 4104) 및 Module Logging(이벤트 ID 4103)에서 탐지 가능한 흔적을 남깁니다. 이 스킬은 Empire의 기본 실행 문자열(powershell -noP -sta -w 1 -enc), System.Net.WebClient와 FromBase64String을 포함하는 Base64 인코딩 페이로드, 알려진 모듈 호출(Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation) 및 스테이징 URL 패턴을 이벤트 로그에서 분석합니다.
사용 시기
- PowerShell Empire 아티팩트 분석이 필요한 보안 사고를 조사할 때
- 이 도메인에 대한 탐지 규칙 또는 위협 헌팅 쿼리를 구축할 때
- SOC 분석가가 이 분석 유형에 대한 구조화된 절차가 필요할 때
- 관련 공격 기술에 대한 보안 모니터링 범위를 검증할 때
전제 조건
- Python 3.9+ 및 Windows 이벤트 로그 또는 내보낸 EVTX 파일 접근 권한
- 그룹 정책을 통해 활성화된 PowerShell Script Block Logging(이벤트 ID 4104)
- 포괄적인 범위를 위해 활성화된 Module Logging(이벤트 ID 4103)
주요 탐지 패턴
- 기본 실행기 —
powershell -noP -sta -w 1 -enc뒤에 Base64 블록이 이어짐 - 스테이저 지표 —
System.Net.WebClient,DownloadData,DownloadString,FromBase64String - 모듈 시그니처 — Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation, Invoke-PSInject, Invoke-DCOM
- 사용자 에이전트 문자열 — HTTP 리스너 구성의 기본 Empire 사용자 에이전트
- 스테이징 URL —
/login/process.php,/admin/get.php및 유사한 기본 URI 패턴
출력
일치된 IOC, 디코딩된 Base64 페이로드, 의심스러운 이벤트 타임라인, MITRE ATT&CK 기술 매핑 및 심각도 점수를 포함하는 JSON 보고서입니다.