指令碼和方法提供了一種監控 certutil 活動的基本思路。實際的實現可能需要根據系統日誌配置和 certutil 的具體使用情況進行調整。你可以根據事件日誌的實際記錄和需要的監控粒度，進一步自定義這些指令碼。

suv789發表於2024-09-03
指令碼事件

指令碼和方法提供了一種監控 certutil 活動的基本思路。實際的實現可能需要根據系統日誌配置和 certutil 的具體使用情況進行調整。你可以根據事件日誌的實際記錄和需要的監控粒度，進一步自定義這些指令碼。

1. 確認 certutil.exe 活動是否被記錄在 Security 日誌中

確保 certutil.exe 活動確實被記錄在 Security 日誌中，通常與程序建立相關的事件會被記錄在 Security 日誌中，但這取決於系統配置和事件記錄策略。

2. 調整 XPath 查詢

可能你的 XPath 查詢不完全正確，嘗試用更廣泛的查詢來驗證是否能找到事件。你可以先使用更簡單的查詢來檢查是否有任何事件被記錄。

powershellCopy Code
$logName = "Security"
$xpathQuery = "*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4688)]]"

Write-Host "檢查是否能找到任何事件..."

try {
    $events = Get-WinEvent -LogName $logName -FilterXPath $xpathQuery -MaxEvents 10 -ErrorAction Stop
    if ($events) {
        foreach ($event in $events) {
            $event | Format-List *
        }
    } else {
        Write-Host "未找到與指定選擇條件匹配的事件"
    }
} catch {
    Write-Host "獲取事件時出錯: $_"
}

3. 檢查系統日誌是否存在記錄

確認你的系統確實在記錄你感興趣的事件。你可以手動檢視 Event Viewer 中的 Security 日誌，檢查是否有關於 certutil.exe 或其他相關事件的記錄。

4. 增加更多詳細的事件日誌資訊

如果你確定事件日誌中確實存在相關記錄，但指令碼還是找不到，可以嘗試使用以下指令碼來捕獲和顯示更多的日誌細節，幫助排查問題：

powershellCopy Code
$logName = "Security"
$xpathQuery = "*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4688)]]"

Write-Host "檢查 Security 日誌中的事件..."

try {
    $events = Get-WinEvent -LogName $logName -FilterXPath $xpathQuery -MaxEvents 100 -ErrorAction Stop
    if ($events) {
        foreach ($event in $events) {
            Write-Host "事件 ID: $($event.Id)"
            Write-Host "時間: $($event.TimeCreated)"
            Write-Host "訊息: $($event.Message)"
            Write-Host "--------------------------"
        }
    } else {
        Write-Host "未找到與指定選擇條件匹配的事件"
    }
} catch {
    Write-Host "獲取事件時出錯: $_"
}

5. 檢查許可權和日誌設定

確保你有足夠的許可權來訪問 Security 日誌，可能需要以管理員身份執行 PowerShell。此外，確保日誌設定允許記錄你感興趣的事件，有時日誌策略可能影響事件的記錄。

相關文章