通过机器学习来检测Powershell恶意行为

讲在前面

国内外的各大厂商以及各类研究员多年来对在网络威胁中使用Powershell进行渗透的行为做了不同形式的报告，那么，为什么Poweshell在近几年的渗透中很受攻击中追捧呢，最大的特点就是Powershell的灵活性和丰富的功能使常规检测形同虚设。这篇文章在火眼（FireEye）的通过机器学习来检测Powershell恶意行为研究基础上进行部分修改后展示。

通过这篇文章，读者将会简单学习到：

• 为什么传统的“基于签名”或“基于规则”的检测引擎检测Powershell的威胁会遇到瓶颈
• 如何使用自然语言处理（NLP）来应对这一挑战
• 如何检测混淆了的Powershell命令

瓶颈问题的背景

Powershell是近些年受攻击者追捧的最受欢迎的工具之一，通过火眼的威胁动态威胁情报（DTI）云收集的数据显示，恶意Powershell攻击在2017年全年不断增加。

 

注意：

这里读者可以参考PowerShell攻击中使用的战术，技术