Hur man söker efter en modifierad värdfil med PowerShell

I det stora IT-området står hosts-filen som en tyst vaktpost och ser till att nätverkskommunikationen fungerar smidigt. För den som inte känner till det är hosts-filen en textfil som mappar värdnamn till IP-adresser. Det används av operativsystemet för att omvandla värdnamn till IP-adresser när en dator försöker ansluta till en nätverksresurs. Men vad händer om hosts-filen manipuleras eller ändras? Hur kan IT-specialister och IT-partners (MSP) säkerställa integriteten hos denna viktiga fil? Gå in i det manus som vi nu ska fördjupa oss i.

Förståelse av filen Hosts

Hosts-filen är i grund och botten datorsystemets adressbok. Den spelar en avgörande roll när det gäller att dirigera nätverkstrafiken och se till att användarna hamnar på rätt webbplatser och tjänster. Men dess betydelse gör den även till ett viktigt mål för skadliga aktörer.

Potentiella risker med obehöriga ändringar

En angripare med skumma avsikter kan ändra hosts-filen så att trafiken omdirigeras till en skadlig webbplats eller server. Sådana ändringar kan få ödesdigra konsekvenser:

  • Stjäla personlig information: Genom att omdirigera användare till förfalskade webbplatser kan angriparna fiska efter personliga uppgifter, vilket kan leda till identitetsstöld.
  • Installation av skadlig kod: Användare kan luras att ladda ner skadlig programvara i tron att de befinner sig på en legitim webbplats.
  • Störning av nätverkskommunikation: Viktiga tjänster kan blockeras och orsaka driftstörningar.

Med tanke på dessa risker är det av största vikt att IT-personal och IT-partners har verktyg som snabbt kan upptäcka eventuella obehöriga ändringar. Det är här vårt manus kommer in i bilden.

Manus

#Requires -Version 5.1

<#
.SYNOPSIS
    Checks if the hosts file was modified from last run.
.DESCRIPTION
    Checks if the hosts file was modified from last run.
    On first run this will not produce an error, but will create a cache file for later comparison.
.EXAMPLE
    No parameters needed.
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    # Path and file of the hosts file
    [string]
    $HostsPath = "C:WindowsSystem32driversetchosts",
    # Path and file where the cache file will be saved for comparison
    [string]
    $CachePath = "C:ProgramDataNinjaRMMAgentscriptingTest-HostsFile.clixml"
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    # Check if hosts file exists
    if ($(Test-Path -Path $HostsPath)) {
        # Get content and create hash of hosts file
        $HostsContent = Get-Content -Path $HostsPath
        $HostsHash = Get-FileHash -Path $HostsPath -Algorithm SHA256

        $Current = [PSCustomObject]@{
            Content = $HostsContent
            Hash    = $HostsHash
        }

        # Check if this is first run or not
        if ($(Test-Path -Path $CachePath)) {
            # Compare last content and hash
            $Cache = Import-Clixml -Path $CachePath
            $ContentDifference = Compare-Object -ReferenceObject $Cache.Content -DifferenceObject $Current.Content -CaseSensitive
            $HashDifference = $Cache.Hash -like $Current.Hash
            $Current | Export-Clixml -Path $CachePath -Force -Confirm:$false
            if (-not $HashDifference) {
                Write-Host "Hosts file has changed since last run!"
                Write-Host ""
                $ContentDifference | ForEach-Object {
                    if ($_.SideIndicator -like '=>') {
                        Write-Host "Added: $($_.InputObject)"
                    }
                    elseif ($_.SideIndicator -like '<=') {
                        Write-Host "Removed: $($_.InputObject)"
                    }
                }
                exit 1
            }
        }
        else {
            Write-Host "First run, saving comparison cache file."
            $Current | Export-Clixml -Path $CachePath -Force -Confirm:$false
        }
    }
    else {
        Write-Error "Hosts file is missing!"
        exit 1
    }
    exit 0
}
end {}

 

Få tillgång till över 300 skript i NinjaOne Dojo

Få tillgång till

En djupdykning i manuset

Det medföljande PowerShell-skriptet är utformat för att kontrollera om hosts-filen har ändrats sedan den senaste körningen. Här är en sammanfattning av dess funktionalitet:

  1. Kontroll av höjd: Skriptet kontrollerar först om det körs med administratörsbehörighet. Detta är viktigt eftersom alla försök att läsa eller ändra systemfiler kräver förhöjda behörigheter.
  2. Värdar Filverifiering: Den kontrollerar sedan att hosts-filen finns. Om filen saknas flaggar skriptet för ett fel.
  3. Jämförelse av hash: Skriptet beräknar en hash (SHA256) av den aktuella hosts-filen och jämför den med en cachad version från den senaste körningen. Om det inte finns någon matchning indikerar det att filen har ändrats.
  4. Jämförelse av innehåll: Utöver att bara kontrollera hashen jämför skriptet även innehållet rad för rad och markerar eventuella tillägg eller borttagningar.

Fördelar för IT-proffs och IT-partners

  • Proaktiv övervakning: Detta skript erbjuder en proaktiv metod för att övervaka hosts-filen, säkerställa dess integritet och varna administratörer om eventuella obehöriga ändringar.
  • Detaljerade insikter: Genom att jämföra skillnader i innehåll kan IT-teamen snabbt identifiera vad som har lagts till eller tagits bort, vilket underlättar en snabb korrigering.
  • Redo för automatisering: Tack vare sin utformning kan skriptet integreras i automatiserade arbetsflöden, vilket möjliggör regelbundna kontroller utan manuella ingrepp.

Kraften i NinjaOne

NinjaOne är mer än bara en IT-hanteringslösning. Det är en heltäckande plattform som ger IT-proffs och IT-partners möjlighet att ligga steget före potentiella hot. Genom att integrera vårt skript för kontroll av hosts-filer i NinjaOne:

  • Centraliserade varningar: Få varningar direkt på NinjaOnes instrumentpanel när värdfilen ändras. Detta omedelbara meddelande säkerställer att du kan agera snabbt och skydda dina system från potentiella attacker.
  • Schemalagda kontroller: Automatisera skriptet så att det körs med angivna intervall, vilket säkerställer kontinuerlig övervakning.
  • Detaljerad rapportering: Kombinera insikterna från skriptet med NinjaOnes rapporteringsfunktioner för att få en helhetsbild av din IT-miljö.

Sammanfattningsvis är hosts-filen, även om den ofta förbises, en hörnsten i nätverkskommunikation. Att säkerställa dess integritet är av största vikt. Vårt skript, särskilt i kombination med kraften i NinjaOne, ger IT-teams de verktyg de behöver för att övervaka, upptäcka och agera mot obehöriga ändringar, vilket garanterar en säker och smidig IT-miljö.

Nästa steg

För att bygga upp ett effektivt och handlingskraftigt IT-team krävs en centraliserad lösning som fungerar som ett centralt redskap för att leverera IT-tjänster. NinjaOne gör det möjligt för IT-teams att övervaka, hantera, säkra och stödja alla sina enheter, oavsett var de befinner sig, utan behovet av en komplex infrastruktur på plats.

Lär dig mer om NinjaOne endpoint-hantering, ta en live tour, eller starta en gratis provperiod av NinjaOne.

Kategorier:

Du kanske även gillar

×

Se NinjaOne i aktion!

Genom att skicka detta formulär accepterar jag NinjaOne:s integritetspolicy.

NinjaOne Villkor och bestämmelser

Genom att klicka på knappen ”Jag accepterar” nedan anger du att du accepterar följande juridiska villkor samt våra användarvillkor:

  • Äganderätt: NinjaOne äger och kommer att fortsätta att äga alla rättigheter, titlar och intressen i och till manuset (inklusive upphovsrätten). NinjaOne ger dig en begränsad licens att använda skriptet i enlighet med dessa juridiska villkor.
  • Begränsning av användning: Du får endast använda skriptet för dina legitima personliga eller interna affärssyften, och du får inte dela skriptet med någon annan part.
  • Republikbildning Förbud: Du får under inga omständigheter återpublicera skriptet i något skriptbibliotek som tillhör eller kontrolleras av någon annan programvaruleverantör.
  • Friskrivning från garantiansvar: Skriptet tillhandahålls ”i befintligt skick” och ”som tillgängligt”, utan garanti av något slag. NinjaOne ger inga löften eller garantier om att skriptet kommer att vara fritt från defekter eller att det kommer att uppfylla dina specifika behov eller förväntningar.
  • Antagande av risk: Din användning av skriptet sker på egen risk. Du bekräftar att det finns vissa inneboende risker med att använda skriptet, och du förstår och tar på dig var och en av dessa risker.
  • Avstående och befrielse: Du kommer inte att hålla NinjaOne ansvarig för några negativa eller oavsiktliga konsekvenser till följd av din användning av skriptet, och du avstår från alla juridiska eller skäliga rättigheter eller rättsmedel som du kan ha mot NinjaOne i samband med din användning av skriptet.
  • EULA: Om du är en NinjaOne-kund omfattas din användning av skriptet av det licensavtal för slutanvändare som gäller för dig (EULA).