PowerShell Script Block Logging, Windows’un çalıştırılan her PowerShell kod bloğunu, yorumlayıcı tarafından işlendiği andaki tam metniyle olay günlüğüne yazan bir özelliğidir. Saldırgan bir komutu base64 ile kodlasa, string’leri parçalayıp birleştirse ya da değişkenlerin içine gizlese bile, motor kodu çalıştırmadan önce çözmek zorundadır; işte kayda geçen şey o çözülmüş halidir.

Script Block Logging, PowerShell yorumlayıcısının gördüğü asıl kodu kaydeder; saldırganın uyguladığı gizleme katmanları çalıştırma anında sıyrıldığı için günlüğe komutun gerçek niyeti düşer.

Motorun İçinden Kayıt Almak

Özellik açıldığında kayıtlar Microsoft-Windows-PowerShell/Operational kanalına, Event ID 4104 altında düşer. Buradaki kritik ayrım, komut satırı denetimi veya işlem oluşturma günlüklerinin yalnızca çağrılan dosya ve argümanları görmesine karşılık, script block logging’in bloğun içeriğine, yani asıl mantığa erişmesidir. Uzun bir betik birden fazla parçaya bölünerek kaydedilir ve her parçaya sıra numarası verilir, böylece analist bloğu yeniden birleştirebilir.

Yapılandırma Grup İlkesi üzerinden ‘Turn on PowerShell Script Block Logging’ ayarıyla yönetilir. İsteğe bağlı ‘log script block invocation start/stop’ seçeneği her yürütmenin başlangıç ve bitişini de işaretler, fakat bu ayrıntı düzeyi ciddi bir günlük hacmi getirdiği için genelde kapalı bırakılır. Toplanan 4104 olaylarının merkezi bir noktada saklanması için Windows olay günlükleri bir toplayıcıya ya da SIEM platformuna akıtılır.

Gizlemeyi Neden Deler?

Saldırganların PowerShell’i tercih etmesinin nedeni, işletim sistemine yerleşik ve imzalı bir araç olması, yani diskte ek bir kötü amaçlı dosya bırakmadan bellek üzerinden çalışabilmesidir. Bu yüzden PowerShell, tipik Savunmadan kaçınma taktiklerinin en sevilen aracıdır. Script block logging bu avantajı tersine çevirir; saldırgan ne kadar kodlama, karakter değiştirme veya dinamik string üretimi kullanırsa kullansın, yorumlayıcı deşifre etmek zorunda olduğu için niyet günlüğe yazılır.

Pratikte analistler 4104 kayıtlarında belirli imza kalıplarını arar: IEX ile indirilen içeriğin bellekte çalıştırılması, -EncodedCommand parametresi, .NET yansıması üzerinden Win32 API çağrıları veya Invoke-Mimikatz benzeri bilinen araç isimleri. Bu kalıpların düzenli olarak taranması, reaktif alarmların ötesine geçen bir Tehdit avcılığı çalışmasının doğal bir başlangıç noktasıdır.

Kör Noktalar ve Sınırlar

Özelliğin en bilinen zayıflığı sürüm farkıdır. Script block logging PowerShell 5.0 ile olgunlaştı; saldırgan sistemde hâlâ bulunan PowerShell 2.0 motorunu çağırabilirse bu kayıt mekanizması devreye girmez. Bu nedenle sıkılaştırma çalışmasında eski sürüm motorunun kaldırılması veya engellenmesi, günlüklemenin kendisi kadar önemlidir. Ayrıca kayıt hacmi yüksek olduğundan, saklama süresi ve iletim güvenilirliği baştan planlanmazsa olaylar döngüsel olarak üzerine yazılıp kaybolabilir.

Bu telemetriyi anlamlı alarmlara ve tekrarlanabilir avlara dönüştürmek, tek bir ayarı açmaktan fazlasını gerektirir. Privia Security’nin SOC olgunlaştırma çalışmasında PowerShell kayıtları, kapsam boşlukları giderilmiş bir tespit mühendisliği hattına bağlanır.