NSA advarer mot dumme feil i kampen mot Windows malware

Oppgaveautomatiseringsplattform PowerShell, som ofte misbrukes av trusselaktører som distribuerer skadelig programvare (åpnes i ny fane), kan også brukes til angrepsdeteksjon og forebygging. Dette er rådet US National Security Agency (NSA) nylig ga til systemadministratorer overalt.

Ved siden av cybersikkerhetssentre i Storbritannia og New Zealand publiserte NSA en sikkerhetsrådgivning der den argumenterer for at blokkering av PowerShell, en vanlig sikkerhetspraksis, faktisk senker organisasjoners defensive evner mot løsepengevare (åpnes i ny fane) og andre former for nettangrep.

I stedet bør systemadministratorer bruke det til å øke etterforskningen og responsen på hendelser, samt for å automatisere så mange repeterende oppgaver som mulig.

Mange anbefalinger

"Blokkering av PowerShell hindrer defensive evner som gjeldende versjoner av PowerShell kan tilby, og forhindrer at komponenter i Windows-operativsystemet kjører som de skal. Nyere versjoner av PowerShell med forbedrede muligheter og alternativer kan hjelpe forsvarere med å motvirke misbruk av PowerShell», uttalte NSA.

Rådgivningen kommer med en rekke anbefalinger, inkludert bruk av PowerShell-remoting, eller bruk av Secure Shell-protokollen (SSH) for å forbedre sikkerheten for autentisering med offentlig nøkkel.

"Riktig konfigurasjon av WDAC eller AppLocker på Windows 10+ hjelper til med å forhindre at en ondsinnet aktør får full kontroll over en PowerShell-økt og verten," forklarte dokumentet.

Systemadministratorer kan også lete etter tegn på misbruk på endepunktene deres (åpnes i ny fane) ved å registrere PowerShell-aktivitet og overvåkingslogger.

Rådgivningen anbefaler også at administratorer slår på funksjoner som Deep Script Block Logging, Module Logging eller Over-The-Shoulder Transkripsjon, ettersom førstnevnte oppretter en loggdatabase, nyttig for å oppdage aggressiv PowerShell-aktivitet.

Sistnevnte lar administratorer registrere hver PowerShell-inngang og -utgang, for å få en bedre forståelse av angripernes mål.

"PowerShell er avgjørende for å sikre Windows-operativsystemet," konkluderte NSA, og la til at med riktig konfigurasjon og administrasjon kan det være et flott verktøy for systemvedlikehold og sikkerhet.

via BleepingComputer (åpnes i ny fane)

kilde