วิธีปิดการใช้งาน PowerShell ด้วยนโยบายกลุ่ม

ในคู่มือนี้ ฉันจะแสดงวิธีปิดการใช้งาน PowerShell ด้วยนโยบายกลุ่ม นอกจากนี้ ฉันจะแสดงให้คุณเห็นถึงวิธีการเปิดใช้งานสำหรับผู้ใช้บางราย เช่น การดูแลระบบ โดยปล่อยให้ผู้ใช้รายอื่นทั้งหมดปิดใช้งานไว้

เหตุใดจึงปิดการใช้งาน PowerShell

ผู้ประสงค์ร้ายมักใช้ PowerShell เพื่อแพร่กระจายมัลแวร์ไปทั่วเครือข่าย PowerShell ถูกเปิดใช้งานตามค่าเริ่มต้นบน Windows 10 สำหรับผู้ใช้ทุกคน ผู้โจมตีสามารถใช้เครื่องมือนี้เพื่อเรียกใช้คำสั่งที่เป็นอันตราย เข้าถึงระบบไฟล์ รีจิสทรี และอื่นๆ Ransomware มักแพร่กระจายไปทั่วเครือข่ายผ่าน PowerShell หากต้องการเรียนรู้เพิ่มเติม ฉันแนะนำให้อ่านเอกสารไวท์เปเปอร์ -> Security Primer - Ryuk

ขั้นตอนในการปิดการใช้งาน PowerShell ด้วยนโยบายกลุ่ม

สำคัญ:

ตัวอย่างนี้บล็อก PowerShell เวอร์ชัน 32 บิตดั้งเดิม คอมพิวเตอร์ของคุณอาจมีเวอร์ชันอื่นหรือหลายเวอร์ชันติดตั้งอยู่ (Core และ 5.1) หากต้องการบล็อก PowerShell เวอร์ชันทั้งหมด คุณจะต้องสร้างกฎหลายเส้นทาง

ขั้นตอนที่ 1: ค้นหาเส้นทางของไฟล์ PowerShell.exe

ตามค่าเริ่มต้น PowerShell.exe จะอยู่ในโฟลเดอร์นี้ -> C:\Windows\System32\WindowsPowerShell\v1.0

หากต้องการยืนยันสิ่งนี้บนคอมพิวเตอร์ของคุณ ให้เปิด PowerShell จากนั้นเปิดตัวจัดการงาน ไปที่แท็บรายละเอียด เลื่อนลงไปที่ powershell.exe คลิกขวาและเลือก "เปิดตำแหน่งไฟล์"

Windows explorer จะเปิดไปยังตำแหน่งโฟลเดอร์ของ powershell.exe จดบันทึกตำแหน่งนี้เนื่องจากจำเป็นต้องใช้ในขั้นตอนต่อไป

ขั้นตอนที่ 2: สร้าง GPO เพื่อบล็อก PowerShell.exe

1. เปิดคอนโซลการจัดการนโยบายกลุ่ม

ตอนนี้ ให้สร้างและเชื่อมโยง GPO ใหม่กับหน่วยขององค์กรที่มีบัญชีผู้ใช้ที่คุณต้องการบล็อกการเข้าถึง ฉันมีผู้ใช้ทั้งหมดอยู่ในหน่วยขององค์กรที่เรียกว่า "ผู้ใช้ ADPRO" ดังนั้นฉันจะลิงก์หน่วยดังกล่าวที่นั่น

ตั้งชื่อ GPO ใหม่ ฉันชอบอธิบายชื่อเพื่อให้เข้าใจง่าย

ตอนนี้คุณได้สร้าง GPO ใหม่แล้ว ขั้นตอนต่อไปคือการแก้ไขการตั้งค่า

2. แก้ไข GPO และไปที่ -> การกำหนดค่าผู้ใช้ -> นโยบาย -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> นโยบายการจำกัดซอฟต์แวร์

ตอนนี้คลิกขวาที่ "นโยบายการ จำกัด ซอฟต์แวร์" และเลือก "นโยบายการ จำกัด ซอฟต์แวร์ใหม่"

เลือก "กฎเพิ่มเติม" จากนั้นคลิกขวาและเลือก "กฎเส้นทางใหม่"

ตอนนี้คลิกปุ่มเรียกดูและเลือกไฟล์ powershell.exe จากเส้นทางในขั้นตอนที่ 1 เส้นทางที่พบบ่อยที่สุดคือ -> C:\Windows\System32\WindowsPowerShell\v1.0

ตั้งค่าระดับความปลอดภัยเป็น “ไม่อนุญาต” คลิกตกลง

เคล็ดลับ: อีกทางเลือกหนึ่งคือการใช้กฎแฮช ประโยชน์ของกฎแฮชคือจะบล็อกไฟล์ไม่ว่าจะอยู่ที่ใดก็ตาม ตัวอย่างเช่น หาก PowerShell พยายามเรียกใช้จาก c:\it\ มันจะถูกบล็อกเนื่องจากกฎแฮช ไม่ใช่เส้นทางของไฟล์ ข้อเสียเปรียบประการเดียวคือคุณจะต้องมีกฎแฮชสำหรับ PowerShell ทุกรุ่น

ถัดไป รีบูทคอมพิวเตอร์ของคุณเพื่อให้นโยบายมีผล ตอนนี้เมื่อคุณพยายามเรียกใช้ PowerShell คุณควรได้รับข้อความต่อไปนี้

คุณสามารถทำซ้ำขั้นตอนเหล่านี้สำหรับ PowerShell ISE หรือแอปพลิเคชันอื่นๆ ที่คุณต้องการบล็อก

ซึ่งจะบล็อกผู้ใช้ใน OU ที่คุณใช้ GPO ด้วย หากต้องการเปิดใช้งานสำหรับผู้ใช้เฉพาะให้ทำตามขั้นตอนด้านล่าง

ขั้นตอนที่ 2: อนุญาต PowerShell สำหรับผู้ดูแลระบบ

ในส่วนนี้ ฉันจะแสดงวิธีบล็อก PowerShell สำหรับผู้ใช้ แต่ให้เปิดใช้งานสำหรับผู้ดูแลระบบ

1. สร้างกลุ่ม Active Directory Security ใหม่

ตั้งชื่อตามที่คุณต้องการ ฉันชอบอธิบายวัตถุต่างๆ เพื่อให้ผู้ดูแลระบบคนอื่นๆ สามารถเข้าใจได้อย่างรวดเร็วว่าใช้เพื่ออะไร ฉันตั้งชื่อกลุ่มของฉันว่า “GPO - เปิดใช้งาน PowerShell”

ตอนนี้เพิ่มผู้ใช้ใด ๆ เป็นสมาชิกในกลุ่มนี้ที่คุณต้องการมีสิทธิ์ในการเรียกใช้ PowerShell

2. ปรับเปลี่ยนการมอบหมาย GPO

ตอนนี้กลับไปที่ GPO ที่คุณสร้างในขั้นตอนที่ 1 แล้วคลิกแท็บการมอบหมาย

คลิก “ขั้นสูง”

คลิก "เพิ่ม" จากนั้นเลือกกลุ่มความปลอดภัยที่คุณสร้างซึ่งมีผู้ใช้ที่คุณต้องการเปิดใช้งาน PowerShell คลิกตกลง

ในส่วนการอนุญาต ตรวจสอบให้แน่ใจว่าได้เลือกกลุ่มแล้วและมีสิทธิ์เหล่านี้เท่านั้น

• การอ่านถูกตั้งค่าเป็น "อนุญาต"
• ใช้นโยบายกลุ่มตั้งค่าเป็น "ปฏิเสธ"

คลิกตกลง

ขณะนี้ผู้ใช้ใดๆ ที่คุณเพิ่มในกลุ่มความปลอดภัยจะถูกปฏิเสธนโยบายนี้ และเปิดใช้งานให้เรียกใช้ PowerShell ได้

บทสรุป

PowerShell เป็นเครื่องมือที่ยอดเยี่ยมสำหรับผู้ดูแลระบบ แต่กลับถูกนำไปใช้ในทางที่ผิดมากขึ้นเรื่อยๆ โดยผู้ประสงค์ร้ายเพื่อแพร่กระจายแรนซัมแวร์ไปทั่วเครือข่าย ฉันขอแนะนำให้ปฏิบัติตามหลักการของสิทธิ์ขั้นต่ำและรับรองว่าผู้ใช้มีระดับการเข้าถึงขั้นต่ำที่จำเป็นในการปฏิบัติหน้าที่ของตน ผู้ใช้ส่วนใหญ่ไม่จำเป็นต้องใช้ PowerShell ดังนั้นจึงแนะนำให้ปิดการใช้งานสำหรับผู้ใช้เหล่านั้น ตรวจสอบให้แน่ใจว่าคุณทดสอบการเปลี่ยนแปลงประเภทนี้ก่อนที่จะเผยแพร่ทั่วทั้งบริษัท และรับการอนุมัติพร้อมเอกสารประกอบเพื่อครอบคลุมตัวคุณเอง การจัดการการเปลี่ยนแปลงเหมาะสำหรับการเปลี่ยนแปลงทั่วทั้งระบบประเภทนี้