Uproot：使用powershell編寫基于主機的IDS
概述
Uproot是一款基于主機的入侵檢測系統(HIDS)，其利用持續運行的Windows管理規范服務(WMI)事件訂閱，在一個網絡中檢測惡意行為。更多有關WMI事件訂閱可以參見WMIEventing Module
為達到最佳效果，建議使用Uproot的AS_GenericHTTP consumer以及Uproot Listening Post提取事件，將系統日志聚合一起，再用Splunk進行處理。
注意：Uproot最好是在powershell版本>=v3環境下使用，當然你也可以在PowerShell v2下使用，只是功能方面會大打折扣。微軟從Windows NT 4.0和Windows 95時代一來一貫堅持著可恨又可愛的WMI，正因如此對于Windows NT 4.0之后的版本我們都可以使用Uproot
Cmdlets
簽名設置 - 預建的filters,consumers,subscriptions設置
Install-UprootSignature - 在指定計算機上增加預建的簽名(設置filters和consumers).
Uproot Listening Post
Uproot項目包括了一個可用作Listening Post(在網絡中聚合并轉發事件)的服務執行，Listening Post接收HTTP POST請求，將接收到的數據轉換為系統日志，然后將數據轉發到特定位置(例如Splunk)
在你的網絡載荷分布,或使用的防火墻限制允許的情況下你可以部署多個Listening Posts。
下面為使用Cmdlets安裝/配置Uproot Listening Post的清單：
Get-UprootLP - 在本地或遠程計算機列出Uproot Listening Posts. New-UprootLP - 在本地或遠程計算機創建一個新的Uproot Listening Post. Remove-UprootLP - 在本地或遠程計算機移除Uproot Listening Post. Restart-UprootLP - 在本地或遠程計算機上重置Uproot Listening Post. Start-UprootLP - 在本地或遠程計算機上開啟Uproot Listening Post. Stop-UprootLP - 在本地或遠程計算機上停止Uproot Listening Post.
注意：為了避免造成特權提升漏洞，我們建議在使用New-UprootLP命令前將uprootd.exe移動到C:\Windows\system32\
簽名
只要有可能，使用Extrinsic事件替換Intrinsic事件。Intrinsic事件請求輪詢，相對于Extrinsic事件需要更多的資源。
過濾
ActiveScriptEventConsumers
AS_GenericHTTP - Generic ActiveScriptEventConsumer for All Events (this is the recommended consumer)
AS_ExtrinsicHTTP - Generic ActiveScriptEventConsumer for Extrinsic Events (Win32_ProcessStartTrace)
AS_IntrinsicHTTP - Generic ActiveScriptEventConsumer for Intrinsic Events (Win32_ProcessCreation)
LogFileEventConsumers
LF_ProcessCreation_CSV_PSv2
LF_ProcessCreation_txt
Prebuilt Sigs
Basic - An example signature file
安裝模塊
Jakub Jareš寫了一篇十分優秀的文章來介紹如何安裝模塊，借著這篇優秀的文章我們應用到Uproot上。
打開瀏覽器，并來到Uproot github page，你需要下載并提取模塊到你的模塊目錄下。
如果你使用IE下載這些存檔，在提取前你需要先打開存檔，否則當你導入的時候Powershell就會開始罷工了喲。如果你使用的是PowerShell 3.0或更新版本，那你可以使用Unblock-File命令來進行操作：
Unblock-File -Path "$env:UserProfile\Downloads\Uproot-master.zip"
使用老版本PowerShell的你，則需要手動打開文件。到下載目錄中右鍵單擊Uproot-master.zip并選擇“屬性”，在常規選項卡中單擊開啟。
打開你的模塊目錄，再創建一個名為Uproot的文件夾。使用下面的腳本你看毫無壓力的打開正確的文件夾：
function Get-UserModulePath { $Path = $env:PSModulePath -split ";" -match $env:USERNAME if (-not (Test-Path -Path $Path)) { New-Item -Path $Path -ItemType Container | Out-Null } $Path }Invoke-Item (Get-UserModulePath)
將文檔提取到Uproot文件夾，完成這一步之后你應該可以在文件夾下看到這些文件：
開啟一個新的PowerShell會話，然后使用以下命令導入Uproot模塊
Get-Module -ListAvailable -Name UprootImport-Module UprootGet-Command -Module Uproot
從現在開始你就可以使用Uproot PowerShell模塊了。
栗子
安裝簽名文件
Install-UprootSignature -ComputerName (Get-Content .\hostlist.txt) -SigFile Basic
安裝本地Listening Post
Copy-Item $PSModulePath\Uproot\bin\uprootd.exe C:\windows\System32\uprootd.exe New-UprootLP -BinaryPathName C:\windows\System32\uprootd.exe Start-UprootLP -Server 192.168.1.100
安裝遠程Listening Post
Copy-Item $PSModulePath\Uproot\bin\uprootd.exe \\LPHost\C$\windows\System32\uprootd.exe New-UprootLP -ComputerName LPHost -BinaryPathName C:\windows\System32\uprootd.exe Start-UprootLP -ComputerName LPHost -Server 192.168.1.100
移除本地Listening Post
Get-UprootLPStop-UprootLPRemove-UprootLP
移除遠程Listening Post
Get-UprootLP -ComputerName LPHostStop-UprootLP -ComputerName LPHostRemove-UprootLP -ComputerName LPHost
DriverCreation - Intrinsic事件監控系統驅動的創建/注冊
LoggedOnUserCreation -
NetworkConnectionCreation -
ProcessCreation - Intrinsic事件監控進程的創建
ProcessStartTrace - Extrinsic事件監控進程的創建
ScheduledJobCreation - Intrinsic事件監控"AT"的創建/注冊
ServerConnectionCreation -
ServiceCreation -
ShadowCopyCreation - Intrinsic事件監控卷備份的創建
ShareCreation - Intrinsic事件監控文件分享的創建
StartupCommandCreation -
UserCreation - Intrinsic事件監控本地用戶的創建
UserProfileCreation -
