Análise Forense: Identificando Comandos Executados por Outros Usuários via PowerShell no Windows Server 2022

A análise forense de atividades no Windows Server 2022 é crucial para detectar e responder a possíveis incidentes de segurança. Monitorar e revisar os comandos executados via PowerShell por diferentes usuários é uma prática essencial nesse processo. Este artigo orienta como localizar e analisar evidências de comandos executados por outros usuários utilizando o PowerShell.​

1. Entendendo o Histórico de Comandos do PowerShell

O PowerShell registra o histórico de comandos em arquivos específicos para cada usuário. Por padrão, esse histórico é armazenado no seguinte caminho:​ C:\Users\<NomeDoUsuário>\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

Cada usuário possui seu próprio arquivo ConsoleHost_history.txt, que contém os comandos executados em sessões anteriores do PowerShell.​

2. Localizando o Histórico de Comandos de Outros Usuários

Para acessar o histórico de comandos de um usuário específico, siga os passos abaixo:

1. Acesse o Diretório do Usuário:
   • Navegue até o diretório do perfil do usuário cujo histórico deseja analisar: C:\Users\<NomeDoUsuário>\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\
2. Visualize o Arquivo de Histórico:
   • Abra o arquivo ConsoleHost_history.txt com um editor de texto para revisar os comandos executados por esse usuário.​

3. Utilizando o PowerShell para Acessar Históricos de Comandos

Para automatizar a coleta de históricos de comandos de múltiplos usuários, você pode utilizar o seguinte script no PowerShell:​$users = Get-ChildItem -Path 'C:\Users' | Select-Object -ExpandProperty Name foreach ($user in $users) { $historyPath = "C:\Users\$user\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt" if (Test-Path $historyPath) { Write-Output "Histórico de comandos para o usuário: $user" Get-Content $historyPath Write-Output "`n" } }

Este script percorre todos os perfis de usuários no diretório C:\Users, verifica a existência do arquivo de histórico do PowerShell para cada usuário e exibe seu conteúdo.​European Alternative for Cyber Security

4. Considerações Importantes

• Permissões Adequadas: Para acessar os diretórios de outros usuários, é necessário ter privilégios administrativos no servidor.​
• Limitações do Histórico: O arquivo ConsoleHost_history.txt registra apenas os comandos digitados interativamente no console do PowerShell. Comandos executados por scripts ou tarefas agendadas podem não aparecer nesse arquivo.​
• Configuração de Logging Avançado: Para uma auditoria mais abrangente, considere habilitar o logging detalhado do PowerShell. Isso pode ser configurado via Diretivas de Grupo (GPO) ou utilizando soluções de monitoramento de logs, permitindo capturar todas as atividades do PowerShell no sistema.​

5. Análise e Monitoramento Contínuo

Além de revisar os históricos de comandos, é recomendável implementar monitoramento contínuo das atividades do PowerShell. Ferramentas de análise de logs podem ajudar a identificar comportamentos suspeitos ou não autorizados, contribuindo para a segurança proativa do ambiente.​

Conclusão

A análise do histórico de comandos do PowerShell é uma componente vital na investigação forense de atividades em servidores Windows Server 2022. Ao acessar e revisar os arquivos de histórico de usuários, administradores podem identificar ações potencialmente maliciosas ou não autorizadas, fortalecendo a postura de segurança da organização.