Glosario
Module Logging (4103)
Registro de la ejecución de canalizaciones de PowerShell: el event ID 4103 registra los comandos y sus parámetros enlazados a medida que se ejecutan.
El Module Logging registra los detalles de ejecución de la canalización, es decir, los comandos que PowerShell invocó y los parámetros enlazados a ellos, en el event ID 4103 del registro Microsoft-Windows-PowerShell/Operational. Se habilita mediante la directiva de grupo "Turn on Module Logging", en Administrative Templates → Windows Components → Windows PowerShell, ya sea para una lista de nombres de módulos o para todos los módulos con *. Está desactivado de forma predeterminada.
Por qué importa en una investigación
El Module Logging complementa al Script Block Logging. El evento 4104 muestra el código que se compiló; el 4103 muestra lo que se ejecutó realmente y con qué valores de argumento, incluidos los valores calculados en tiempo de ejecución que nunca aparecen literalmente en el script. Cuando un script construye una URL a partir de variables, el 4104 muestra las variables, mientras que el 4103 muestra el Uri final.
Cada evento 4103 tiene un bloque ContextInfo que indica la aplicación host, el usuario, la versión del motor y el comando, y un Payload con una línea CommandInvocation por comando y una línea ParameterBinding por parámetro enlazado. Con * habilitado resulta detallado y ruidoso, así que conviene leerlo filtrado por los cmdlets que importan: solicitudes web, creación de procesos, escritura de archivos y configuración de Defender.
Ejemplo
Un Payload abreviado de una descarga de archivo:
CommandInvocation(Invoke-WebRequest): "Invoke-WebRequest"
ParameterBinding(Invoke-WebRequest): name="Uri"; value="https://files.example/tools.zip"
ParameterBinding(Invoke-WebRequest): name="OutFile"; value="C:\Users\Public\tools.zip"
El parser lee los campos de ContextInfo y el payload, de modo que la entrada muestra el usuario, la aplicación host y el nombre del comando junto a la invocación. Aplica al payload y a la línea de comandos del host los mismos hallazgos que a cualquier otra entrada, en este caso una descarga.
Términos relacionados
- Event ID 4104, el evento de bloques de script del mismo registro
- Script Block Logging, la directiva complementaria
- Registro clásico de Windows PowerShell, cuyo evento 800 también registra la ejecución de canalizaciones
- Download cradle, a menudo visible en los valores de los parámetros del 4103
Combine el 4103 con los demás eventos de PowerShell en el PowerShell Parser y consulte la guía de registros de eventos de PowerShell para ver todos los event ID en paralelo.