أمان عمليات Windows: دليل شامل

تُعدّ إدارة عمليات Windows وتأمينها أمرًا أساسيًا لحماية نظامك. يوضح لك هذا الدليل كيفية مراقبة العمليات وحمايتها بفعالية.

1. إدارة العمليات

عرض العمليات

# Afficher tous les processus
Get-Process

# Afficher les processus avec plus de détails
Get-Process | Select-Object Id, ProcessName, CPU, WorkingSet64, Path

# Afficher les processus par utilisateur
Get-Process | Group-Object UserName

التحكم في العمليات

# Arrêter un processus
Stop-Process -Name "ProcessName" -Force

# Suspendre un processus
Suspend-Process -Name "ProcessName"

# Reprendre un processus
Resume-Process -Name "ProcessName"

2. مراقبة العمليات

المراقبة في الوقت الفعلي

# Script de monitoring des processus
function Monitor-Processes {
    param (
        [int]$Interval = 5
    )
    
    while ($true) {
        $processes = Get-Process | Where-Object {$_.CPU -gt 0}
        foreach ($process in $processes) {
            Write-Host "Processus: $($process.ProcessName) - CPU: $($process.CPU) - Mémoire: $($process.WorkingSet64/1MB) MB"
        }
        Start-Sleep -Seconds $Interval
    }
}

كشف الحالات الشاذة

# Script de détection d'anomalies
function Detect-ProcessAnomalies {
    $baseline = @{
        "svchost.exe" = @(100, 200)  # Plage de PIDs normale
        "explorer.exe" = @(1000, 2000)
    }
    
    $current = Get-Process | Where-Object {$_.ProcessName -in $baseline.Keys}
    foreach ($proc in $current) {
        if ($proc.Id -lt $baseline[$proc.ProcessName][0] -or $proc.Id -gt $baseline[$proc.ProcessName][1]) {
            Write-Host "Anomalie détectée: $($proc.ProcessName) avec PID $($proc.Id)"
        }
    }
}

3. الحماية من البرمجيات الخبيثة

كشف العمليات الخبيثة

# Script de détection des processus malveillants
function Detect-MaliciousProcesses {
    $suspiciousPatterns = @(
        "cryptominer",
        "miner",
        "botnet",
        "backdoor"
    )
    
    $processes = Get-Process
    foreach ($process in $processes) {
        foreach ($pattern in $suspiciousPatterns) {
            if ($process.ProcessName -match $pattern -or $process.Path -match $pattern) {
                Write-Host "Processus suspect détecté: $($process.ProcessName)"
            }
        }
    }
}

الحماية من الحقن

# Configuration de la protection contre l'injection
$protectionSettings = @{
    "EnableLUA" = 1
    "EnableVirtualization" = 1
    "EnableInstallerDetection" = 1
}

foreach ($setting in $protectionSettings.GetEnumerator()) {
    Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name $setting.Key -Value $setting.Value
}

4. التدقيق وتسجيل الأحداث

إعداد التدقيق

# Activation de l'audit des processus
auditpol /set /category:"Detailed Tracking" /success:enable /failure:enable

# Configuration des logs
wevtutil sl Security /maxsize:4294967296 /retention:true

تحليل السجلات

# Script d'analyse des logs de processus
function Analyze-ProcessLogs {
    $events = Get-EventLog -LogName Security -Source "Security" -After (Get-Date).AddHours(-24)
    $processEvents = $events | Where-Object {$_.EventID -eq 4688 -or $_.EventID -eq 4689}
    
    foreach ($event in $processEvents) {
        Write-Host "Événement processus: $($event.TimeGenerated) - $($event.Message)"
    }
}

5. سكربتات الأمان

التحقق من الأمان

# Script de vérification de sécurité des processus
function Test-ProcessSecurity {
    $issues = @()
    
    # Vérification des processus système
    $systemProcesses = Get-Process | Where-Object {$_.UserName -eq "NT AUTHORITY\SYSTEM"}
    foreach ($process in $systemProcesses) {
        if ($process.Path -notlike "C:\Windows\System32\*") {
            $issues += "Processus système suspect: $($process.ProcessName)"
        }
    }
    
    # Vérification des permissions
    $sensitiveProcesses = @("lsass.exe", "services.exe")
    foreach ($process in $sensitiveProcesses) {
        $proc = Get-Process $process -ErrorAction SilentlyContinue
        if ($proc) {
            $acl = Get-Acl $proc.Path
            if (-not ($acl.Access | Where-Object {$_.IdentityReference -eq "NT AUTHORITY\SYSTEM"})) {
                $issues += "Permissions incorrectes sur $process"
            }
        }
    }
    
    return $issues
}

الصيانة التلقائية

# Script de maintenance des processus
function Update-ProcessSecurity {
    # Détection des processus malveillants
    Detect-MaliciousProcesses
    
    # Vérification des anomalies
    Detect-ProcessAnomalies
    
    # Vérification de sécurité
    $issues = Test-ProcessSecurity
    foreach ($issue in $issues) {
        Write-Host "Problème détecté : $issue"
    }
}

الخلاصة

يتطلب تأمين عمليات Windows ما يلي:

• مراقبة مستمرة
• كشفًا سريعًا للحالات الشاذة
• حماية من هجمات الحقن
• توثيقًا دقيقًا

النقاط الرئيسية التي يجب تذكّرها:

• مراقبة العمليات في الوقت الفعلي
• كشف العمليات الخبيثة
• الحماية من هجمات الحقن
• الاحتفاظ بسجلات مفصلة
• اتباع أفضل الممارسات