التنبيه نقطة بداية.

نقطة البداية.

خلال تحقيقات على الأجهزة الطرفية، فحصت سياق ملفات مشبوهة ومعلومات أمان Windows. وكان تركيزي على الفصل بين التنبيه نفسه وما يمكن إثباته فعلًا بشأن الملف وسلوكه.

ما قمت به.

1. فحصت موقع الملف وحجمه وطوابعه الزمنية باستخدام PowerShell، ثم درست تفاصيل الجهة الموقِّعة في Authenticode.
2. قارنت الأدلة المتاحة بالسلوك الموصوف في تنبيه الجهاز الطرفي، بدلًا من اعتبار اسم الملف وحده أو الشهادة وحدها حكمًا.
3. أبقيت الجوانب المجهولة ظاهرة: فالبيانات الوصفية للملف لا يمكنها وحدها إثبات سلسلة العمليات الأم، أو آليات الاستمرار، أو ما إذا كان مكوّن موقَّع قد أُسيء استخدامه.

القرارات والمفاضلات.

جمع أدلة الملف دون تغييره.

نمط فحص يقتصر على القراءة. وتتضمن النسخة القابلة للتنزيل التحقق من صحة المعلمات ومعالجة الأخطاء.

$file = Get-Item -LiteralPath $Path
$signature = Get-AuthenticodeSignature -LiteralPath $file.FullName

$file | Select-Object Name, Length, LastWriteTimeUtc
Get-FileHash -LiteralPath $file.FullName -Algorithm SHA256
$signature | Select-Object Status, SignerCertificate

# A signature is evidence, not a verdict.

اقرأ النص البرمجي قبل تشغيله. على Windows: powershell -ExecutionPolicy Bypass -File .\inspect-file.ps1 (ينطبق ذلك على تلك العملية فقط).

ما تحققت منه.

جمعت البيانات الوصفية للملف ومعلومات الجهة الموقِّعة لتضييق نطاق التحقيق. ولمتابعة قابلة للتكرار، يضيف المثال أعلاه قيمة التجزئة SHA-256 إلى تلك الفحوصات المقتصرة على القراءة. ويوضح مثال KQL المرافق كيفية استكشاف سياق عمليات واجهات الأوامر عند توفر بيانات القياس عن بُعد ذات الصلة.