about_Logging_Non-Windows

Krótki opis

Program PowerShell rejestruje operacje wewnętrzne z aparatu, dostawców i poleceń cmdlet.

Długi opis

Program PowerShell rejestruje szczegóły operacji programu PowerShell, takie jak uruchamianie i zatrzymywanie aparatu oraz uruchamianie i zatrzymywanie dostawców. Rejestruje również szczegółowe informacje o poleceniach programu PowerShell.

Aby uzyskać informacje na temat rejestrowania w programie Windows PowerShell 5.1, zobacz about_Logging.

Lokalizacja dzienników programu PowerShell zależy od platformy docelowej.

• W systemie Linux program PowerShell rejestruje dziennik systemowy, który może przekazywać dalej do serwera syslog. Aby uzyskać więcej informacji, zobacz man strony dystrybucji systemu Linux.
• W systemie macOS używany jest ujednolicony system rejestrowania firmy Apple. Aby uzyskać więcej informacji, zobacz dokumentację dla deweloperów firmy Apple dotyczącą rejestrowania.

Program PowerShell obsługuje konfigurowanie dwóch kategorii rejestrowania:

• Rejestrowanie modułów — rejestruje zdarzenia wykonywania potoku dla elementów członkowskich określonych modułów. Rejestrowanie modułów musi być włączone zarówno dla sesji, jak i określonych modułów. Aby uzyskać więcej informacji na temat konfigurowania tego rejestrowania, zobacz about_PowerShell_Config.

  Jeśli rejestrowanie modułów jest włączone za pośrednictwem konfiguracji, możesz włączyć i wyłączyć rejestrowanie dla określonych modułów w sesji, ustawiając wartość właściwości LogPipelineExecutionDetails modułu.

  Aby na przykład włączyć rejestrowanie modułu dla modułu PSReadLine :

  $psrl = Get-Module PSReadLine
  $psrl.LogPipelineExecutionDetails = $true
  Get-Module PSReadLine | Select-Object Name, LogPipelineExecutionDetails
  

  Name       LogPipelineExecutionDetails
  ----       ---------------------------
  PSReadLine                        True
  

• Rejestrowanie bloków skryptów — rejestruj przetwarzanie poleceń, bloków skryptów, funkcji i skryptów niezależnie od tego, czy wywoływane interaktywnie, czy za pośrednictwem automatyzacji.

  Po włączeniu rejestrowania bloków skryptów program PowerShell rejestruje zawartość wszystkich bloków skryptu, które przetwarza. Po włączeniu tej informacji wszystkie nowe sesje programu PowerShell rejestrują te informacje.

  Uwaga

  Zaleca się włączenie rejestrowania zdarzeń chronionych w przypadku korzystania z rejestrowania bloków skryptów w celach innych niż diagnostyka. Aby uzyskać więcej informacji, zobacz about_PowerShell_Config.

Konfigurowanie rejestrowania w systemie Linux lub macOS

Konfiguracja rejestrowania w systemach Linux i macOS jest przechowywana w powershell.config.json pliku. Plik powershell.config.json jest plikiem w formacie JSON znajdującym się w katalogu programu PowerShell $PSHOME . Jeśli ten plik konfiguracji nie istnieje, musisz go utworzyć, aby zmienić ustawienia domyślne. Każda instalacja programu PowerShell używa własnej kopii tego pliku.

Domyślnie program PowerShell umożliwia Informational rejestrowanie w Operational kanale. Konfigurację można zmienić, jeśli potrzebujesz dodatkowych danych wyjściowych dziennika, takich jak pełne lub włączanie danych wyjściowych dziennika analitycznego.

Poniższy kod to przykładowa konfiguracja:

{
    "ModuleLogging": {
        "EnableModuleLogging": false,
        "ModuleNames": [
            "PSReadLine",
            "PowerShellGet"
        ]
    },
    "ScriptBlockLogging": {
        "EnableScriptBlockInvocationLogging": true,
        "EnableScriptBlockLogging": true
    },
    "LogLevel": "verbose"
}

Poniżej znajduje się lista właściwości konfigurowania rejestrowania programu PowerShell. Jeśli właściwość nie znajduje się na liście w konfiguracji, program PowerShell używa wartości domyślnej.

• Identyfikator dziennika
  • Wartości: <string name>, powershell
  • Opis: nazwa używana podczas rejestrowania. Domyślną tożsamością jest powershell. Ta wartość może służyć do określania różnicy między dwoma wystąpieniami instalacji programu PowerShell, takimi jak wersja wersji i wersja beta. Ta wartość służy również do przekierowywania danych wyjściowych dziennika do oddzielnego pliku.
• LogChannels
  • Wartości: Operational, Analytic
  • Opis: kanały do włączenia. Rozdziel wartości przecinkami podczas określania więcej niż jednego. Domyślna wartość to Operational.
• LogLevel
  • Wartości: Always, , CriticalError, WarningInformational, VerboseDebug
  • Opis: określ pojedynczą wartość. Wartości są wymienione w rosnącej kolejności szczegółowości. Wybrana wartość włącza się i wszystkie wartości przed nim. Domyślna wartość to Informational.
• LogKeywords
  • Wartości: Runspace, PipelineProtocolTransportHostCmdletsSerializer, , SessionManagedPlugin
  • Opis: Słowa kluczowe umożliwiają ograniczenie rejestrowania do określonych składników w programie PowerShell. Domyślnie wszystkie słowa kluczowe są włączone i zmiana tej wartości jest przydatna tylko w przypadku wyspecjalizowanych rozwiązywania problemów.
• PowerShellPolicies
  • Opis: Ustawienie PowerShellPolicies zawiera opcje Rejestrowanie modułów, ProtectedEventLogging i ScriptBlockLogging. Aby uzyskać więcej informacji, zobacz Typowe ustawienia konfiguracji.

Wyświetlanie danych dziennika programu PowerShell w dzienniku w systemie Linux

Dzienniki programu PowerShell w dziennikusystemd przy użyciu demona dziennika w dystrybucjach systemu Linux, takich jak Ubuntu i Red Hat Enterprise Linux (RHEL).

Demon dziennika przechowuje komunikaty dziennika w formacie binarnym. journalctl Użyj narzędzia , aby wysłać zapytanie do dziennika dziennika dla wpisów programu PowerShell.

journalctl --grep powershell

Demon dziennika może przekazywać komunikaty dziennika do serwera protokołu rejestrowania systemu (syslog). ForwardToSysLog Włącz opcję w pliku konfiguracji dziennika, /etc/systemd/journald.confjeśli chcesz użyć rejestrowania dziennika systemowego w systemie Linux. Jest to domyślna konfiguracja dla wielu dystrybucji systemu Linux.

Wyświetlanie danych dziennika programu PowerShell w dzienniku systemowym w systemie Linux

Użyj menedżera pakietów dla dystrybucji systemu Linux, aby zainstalować serwer syslog , taki jak rsyslog , jeśli chcesz użyć rejestrowania dziennika systemowego w systemie Linux. Niektóre dystrybucje systemu Linux, takie jak ubuntu preinstalacja rsyslog.

Protokół syslog przechowuje komunikaty dziennika w standardowym formacie tekstowym. Do wykonywania zapytań lub wyświetlania zawartości dziennika systemowego można użyć dowolnego narzędzia do przetwarzania tekstu.

Domyślnie dziennik syslog zapisuje wpisy dziennika w następującej lokalizacji:

• W dystrybucjach opartych na debianie, w tym Ubuntu: /var/log/syslog
• W dystrybucjach opartych na systemie RHEL: /var/log/messages

W poniższym przykładzie użyto cat polecenia do wykonywania zapytań dotyczących wpisów dziennika systemowego programu PowerShell w systemie Ubuntu.

cat /var/log/syslog | grep -i powershell

Format komunikatu dziennika systemowego

Komunikaty dziennika systemowego mają następujący format:

TIMESTAMP MACHINENAME powershell[PID]: (COMMITID:TID:CID)
  [EVENTID:TASK.OPCODE.LEVEL] MESSAGE

• TIMESTAMP — data/godzina utworzenia wpisu dziennika.
• MACHINENAME — nazwa systemu, w którym utworzono dziennik.
• PID — identyfikator procesu, który zapisał wpis dziennika.
• COMMITID — identyfikator lub tag zatwierdzenia git używany do tworzenia kompilacji.
• TID — identyfikator wątku wątku, który napisał wpis dziennika.
• CID — identyfikator kanału szesnastkowego wpisu dziennika.
  • 0x10 = operacyjne
  • 0x11 = analizy
• EVENTID — identyfikator zdarzenia wpisu dziennika.
• TASK — identyfikator zadania dla wpisu zdarzenia
• OPCODE — kod operacji dla wpisu zdarzenia
• LEVEL — poziom dziennika dla wpisu zdarzenia
• MESSAGE — komunikat skojarzony z wpisem zdarzenia

EVENTID, TASK, OPCODE i LEVEL są tymi samymi wartościami, które są używane podczas rejestrowania w dzienniku zdarzeń systemu Windows.

Zapisywanie komunikatu dziennika programu PowerShell do oddzielnego pliku

Istnieje również możliwość przekierowania wpisów dziennika programu PowerShell do oddzielnego pliku. Gdy wpisy dziennika programu PowerShell są przekierowywane do oddzielnego pliku, nie są już rejestrowane do domyślnego pliku dziennika systemowego.

Poniższe kroki umożliwiają skonfigurowanie wpisów dziennika programu PowerShell w systemie Ubuntu w celu zapisania w pliku dziennika o nazwie powershell.log.

1. Utwórz plik konfiguracji (conf) dla konfiguracji dziennika programu PowerShell w /etc/rsyslog.d katalogu przy użyciu edytora plików tekstowych, takiego jak nano. Prefiks nazwy pliku z liczbą mniejszą niż domyślna. Na przykład 40-powershell.conf gdzie wartość domyślna to 50-default.conf.

   sudo nano /etc/rsyslog.d/40-powershell.conf
   

2. Dodaj następujące informacje do 40-powershell.conf pliku:

   :syslogtag, contains, "powershell[" /var/log/powershell.log
   & stop
   

3. Sprawdź, czy /etc/rsyslog.conf ma instrukcję include dla nowego pliku. Może zawierać ogólną instrukcję, która zawiera ją, na przykład:

   $IncludeConfig /etc/rsyslog.d/*.conf
   

   Jeśli tak nie jest, musisz ręcznie dodać instrukcję include.

4. Sprawdź, czy atrybuty i uprawnienia zostały odpowiednio ustawione.

   ls -l /etc/rsyslog.d/40-powershell.conf
   

   -rw-r--r-- 1 root root   67 Nov 28 12:51 40-powershell.conf
   

   Jeśli plik 40-powershell.conf ma inną własność lub uprawnienia, wykonaj następujące kroki:

   1. Ustaw własność na katalog główny.

      sudo chown root:root /etc/rsyslog.d/40-powershell.conf
      

   2. Ustaw uprawnienia dostępu: użytkownik główny ma odczyt/zapis, użytkownicy mają do odczytu.

      sudo chmod 644 /etc/rsyslog.d/40-powershell.conf
      

5. Uruchom ponownie usługę rsyslog .

   sudo systemctl restart rsyslog.service
   

6. Uruchom polecenie pwsh , aby wygenerować informacje programu PowerShell w celu rejestrowania.

   pwsh
   

   Uwaga

   Plik /var/log/powershell.log nie zostanie utworzony, dopóki usługa rsyslog nie zostanie ponownie uruchomiona, a program PowerShell generuje informacje do rejestrowania.

7. Wykonaj zapytanie dotyczące pliku, powershell.log aby sprawdzić, czy informacje programu PowerShell są rejestrowane w nowym pliku.

   cat /var/log/powershell.log
   

Wyświetlanie danych dziennika programu PowerShell w systemie macOS

Dzienniki programu PowerShell w ujednoliconym systemie rejestrowania firmy Apple— funkcja systemu macOS, która umożliwia zbieranie i przechowywanie dzienników systemu i aplikacji w jednej scentralizowanej lokalizacji.

Ujednolicony system rejestrowania firmy Apple przechowuje komunikaty dziennika w formacie binarnym. Do wykonywania zapytań dotyczących ujednoliconego systemu rejestrowania dla zdarzeń dziennika programu PowerShell należy użyć log narzędzia . Zdarzenia dziennika programu PowerShell nie są wyświetlane w aplikacji konsolowej w systemie macOS. Aplikacja konsolowa została zaprojektowana na potrzeby starszego rejestrowania opartego na dzienniku systemowym, który poprzedza ujednolicony system rejestrowania.

Wyświetlanie danych dziennika programu PowerShell z poziomu wiersza polecenia w systemie macOS

Aby wyświetlić dane dziennika programu PowerShell z wiersza polecenia w systemie macOS, użyj log polecenia w terminalu lub innej aplikacji hosta powłoki. Te polecenia można uruchamiać z poziomu programu PowerShell, powłoki Z lub powłoki Bash.

W poniższym przykładzie log polecenie służy do wyświetlania danych dziennika w systemie w czasie rzeczywistym. Parametr procesu filtruje dane dziennika tylko pwsh dla procesu. Jeśli masz więcej niż jedno wystąpienie pwsh uruchomienia, parametr procesu akceptuje również identyfikator procesu jako jego wartość. Parametr poziomu pokazuje komunikaty na określonym poziomie i poniżej.

log stream --predicate "subsystem == 'com.microsoft.powershell'" --level info

Polecenie może służyć do eksportowania log show elementów dziennika. Polecenie log show udostępnia opcje eksportowania ostatnich N elementów, elementów od danego czasu lub elementów w danym przedziale czasu.

Na przykład następujące polecenie eksportuje elementy od :9am on April 5, 2022

log show --start "2022-04-05 09:00:00" --predicate "subsystem == 'com.microsoft.powershell'"

Aby uzyskać więcej informacji, uruchom polecenie log show --help , aby wyświetlić pomoc dotyczącą log show polecenia.

Możesz również wygenerować dane dziennika w formacie JSON, co umożliwia konwertowanie danych zdarzenia na obiekty programu PowerShell. Poniższy przykład generuje zdarzenia w formacie JSON. Polecenie ConvertFrom-Json cmdlet służy do konwertowania danych JSON na obiekty programu PowerShell są przechowywane w zmiennej $logRecord .

log show --predicate "subsystem == 'com.microsoft.powershell'" --style json |
    ConvertFrom-Json | Set-Variable logRecord

Warto również rozważyć zapisanie dzienników w bezpieczniejszej lokalizacji, takiej jak agregator zarządzania informacjami i zdarzeniami zabezpieczeń (SIEM). Za pomocą Microsoft Defender dla Chmury Apps możesz skonfigurować rozwiązania SIEM na platformie Azure. Aby uzyskać więcej informacji, zobacz Ogólna integracja rozwiązania SIEM.

Tryby i poziomy danych dziennika programu PowerShell w systemie macOS

Domyślnie podsystem PowerShell rejestruje komunikaty na poziomie informacji do pamięci (tryb) i domyślne komunikaty na poziomie dysku (trwałość) w systemie macOS. To zachowanie można zmienić, aby włączyć inny tryb i poziom rejestrowania przy użyciu log config polecenia .

Poniższy przykład umożliwia rejestrowanie i trwałość na poziomie informacji dla podsystemu programu PowerShell:

sudo log config --subsystem com.microsoft.powershell --mode level:info,persist:info

Użyj parametru reset, aby przywrócić ustawienia dziennika do ustawień domyślnych podsystemu programu PowerShell:

sudo log config --subsystem com.microsoft.powershell --reset

Zobacz także

• Informacje dotyczące dziennika systemu Linux i rsyslog.conf można znaleźć na stronach lokalnych man komputera z systemem Linux
• Aby uzyskać informacje o rejestrowaniu systemu macOS, zobacz dokumentację deweloperów firmy Apple dotyczącą rejestrowania
• W przypadku systemu Windows zobacz about_Logging_Windows
• Ogólna integracja rozwiązania SIEM