| 加固项 | 脚本审计 |
|---|---|
| 适用平台 | Windows（含 PowerShell） |
| 风险等级 | 高 |
| 基线 | 脚本块日志已开启 |
策略与日志核查
策略与日志核查
# GPO：计算机配置 → 管理模板 → Windows 组件 → Windows PowerShell
# 开启：打开 PowerShell 脚本块日志记录；可选：模块日志记录、脚本执行日志
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging' -ErrorAction SilentlyContinue
Get-WinEvent -LogName 'Microsoft-Windows-PowerShell/Operational' -MaxEvents 54104 记录的是脚本块原文（含解码后内容）：攻击者混淆编码的脚本在这里现形。