Wie man mit PowerShell eine modifizierte Hosts-Datei überprüft.

In der weiten Welt der IT ist die Hosts-Datei ein stiller Wächter, der für eine reibungslose Netzwerkkommunikation sorgt. Für diejenigen, die damit nicht vertraut sind: Die Hosts-Datei ist eine Textdatei, die Hostnamen IP-Adressen zuordnet. Sie wird vom Betriebssystem verwendet, um Hostnamen in IP-Adressen aufzulösen, wenn ein Computer versucht, eine Verbindung zu einer Netzwerkressource herzustellen. Aber was passiert, wenn die Hosts-Datei manipuliert oder verändert wird? Wie können IT-Experten und Managed Service Provider (MSPs) die Integrität dieser wichtigen Datei sicherstellen? Hier kommt das Skript ins Spiel, das wir gleich erforschen werden.

Verstehen der Hosts-Datei

Die Hosts-Datei ist im Wesentlichen das Adressbuch des Computersystems. Sie spielt eine zentrale Rolle bei der Lenkung des Netzverkehrs und sorgt dafür, dass die Benutzer:innen auf die richtigen Websites und Dienste gelangen. Ihre Bedeutung macht sie jedoch auch zu einem bevorzugten Ziel für böswillige Akteure.

Die potenziellen Risiken nicht autorisierter Änderungen

Ein Angreifer mit bösartigen Absichten könnte die Hosts-Datei so verändern, dass der Datenverkehr zu einer bösartigen Website oder einem Server umgeleitet wird. Solche Veränderungen können schlimme Folgen haben:

• Stehlen von persönlichen Informationen: Indem sie Benutzer:innen auf gefälschte Websites umleiten, können Angreifer persönliche Daten ergaunern, was zu Identitätsdiebstahl führt.
• Installation von Malware: Benutzer:innen können dazu verleitet werden, bösartige Software herunterzuladen, weil sie denken, dass sie sich auf einer legitimen Website befinden.
• Unterbrechung der Netzkommunikation: Wichtige Dienste können blockiert werden, was zu Betriebsunterbrechungen führt.

In Anbetracht dieser Risiken ist es für IT-Experten und MSPs von größter Bedeutung, über Tools zu verfügen, die nicht autorisierte Änderungen schnell erkennen können. An dieser Stelle kommt unser Drehbuch ins Spiel.

Das Skript

#Requires -Version 5.1

<#
.SYNOPSIS
    Checks if the hosts file was modified from last run.
.DESCRIPTION
    Checks if the hosts file was modified from last run.
    On first run this will not produce an error, but will create a cache file for later comparison.
.EXAMPLE
    No parameters needed.
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    # Path and file of the hosts file
    [string]
    $HostsPath = "C:WindowsSystem32driversetchosts",
    # Path and file where the cache file will be saved for comparison
    [string]
    $CachePath = "C:ProgramDataNinjaRMMAgentscriptingTest-HostsFile.clixml"
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    # Check if hosts file exists
    if ($(Test-Path -Path $HostsPath)) {
        # Get content and create hash of hosts file
        $HostsContent = Get-Content -Path $HostsPath
        $HostsHash = Get-FileHash -Path $HostsPath -Algorithm SHA256

        $Current = [PSCustomObject]@{
            Content = $HostsContent
            Hash    = $HostsHash
        }

        # Check if this is first run or not
        if ($(Test-Path -Path $CachePath)) {
            # Compare last content and hash
            $Cache = Import-Clixml -Path $CachePath
            $ContentDifference = Compare-Object -ReferenceObject $Cache.Content -DifferenceObject $Current.Content -CaseSensitive
            $HashDifference = $Cache.Hash -like $Current.Hash
            $Current | Export-Clixml -Path $CachePath -Force -Confirm:$false
            if (-not $HashDifference) {
                Write-Host "Hosts file has changed since last run!"
                Write-Host ""
                $ContentDifference | ForEach-Object {
                    if ($_.SideIndicator -like '=>') {
                        Write-Host "Added: $($_.InputObject)"
                    }
                    elseif ($_.SideIndicator -like '<=') {
                        Write-Host "Removed: $($_.InputObject)"
                    }
                }
                exit 1
            }
        }
        else {
            Write-Host "First run, saving comparison cache file."
            $Current | Export-Clixml -Path $CachePath -Force -Confirm:$false
        }
    }
    else {
        Write-Error "Hosts file is missing!"
        exit 1
    }
    exit 0
}
end {}

 

Ein tiefer Einblick in das Drehbuch

Das mitgelieferte PowerShell-Skript soll prüfen, ob die Hosts-Datei seit der letzten Ausführung geändert wurde. Hier ist eine Aufschlüsselung der Funktionen:

1. Elevation-Check: Das Skript prüft zunächst, ob es mit Administratorrechten ausgeführt wird. Dies ist wichtig, da jeder Versuch, Systemdateien zu lesen oder zu ändern, erhöhte Berechtigungen erfordert.
2. Überprüfung der Hosts-Datei: Anschließend wird das Vorhandensein der Hosts-Datei überprüft. Fehlt die Datei, meldet das Skript einen Fehler.
3. Hash-Vergleich: Das Skript berechnet einen Hash (SHA256) der aktuellen Hosts-Datei und vergleicht ihn mit einer zwischengespeicherten Version vom letzten Lauf. Eine Abweichung bedeutet, dass die Datei geändert wurde.
4. Inhaltlicher Vergleich: Das Skript prüft nicht nur den Hash, sondern vergleicht auch den Inhalt Zeile für Zeile und hebt etwaige Hinzufügungen oder Streichungen hervor.

Vorteile für IT-Fachleute und MSPs

• Proaktive Überwachung: Dieses Skript bietet einen proaktiven Ansatz zur Überwachung der Hosts-Datei, der ihre Integrität sicherstellt und Administratoren über alle nicht autorisierten Änderungen informiert.
• Detaillierte Einblicke: Durch den Vergleich von Inhaltsunterschieden können IT-Teams schnell feststellen, was hinzugefügt oder entfernt wurde, und so für eine rasche Behebung sorgen.
• Automatisierungsfähig: Das Skript ist so konzipiert, dass es in automatisierte Arbeitsabläufe integriert werden kann, so dass regelmäßige Kontrollen ohne manuelles Eingreifen möglich sind.

Die Stärke von NinjaOne

NinjaOne ist mehr als nur eine IT-Management-Lösung. Es handelt sich um eine umfassende Plattform, die IT-Experten und MSPs in die Lage versetzt, potenziellen Bedrohungen einen Schritt voraus zu sein. Durch die Integration unseres Skripts zur Überprüfung von Hosts-Dateien in NinjaOne:

• Zentralisierte Warnungen: Erhalten Sie Warnungen direkt auf dem NinjaOne Dashboard, wenn die Hosts-Datei geändert wird. Diese sofortige Benachrichtigung stellt sicher, dass Sie schnell handeln können, um Ihre Systeme vor potenziellen Angriffen zu schützen.
• Geplante Überprüfungen: Automatisieren Sie die Ausführung des Skripts in bestimmten Intervallen, um eine kontinuierliche Überwachung zu gewährleisten.
• Detaillierte Berichterstattung: Kombinieren Sie die Erkenntnisse aus dem Skript mit den Berichtsfunktionen von NinjaOne, um einen ganzheitlichen Überblick über Ihre IT-Umgebung zu erhalten.

Zusammenfassend lässt sich sagen, dass die Hosts-Datei, obwohl sie oft übersehen wird, ein Eckpfeiler der Netzwerkkommunikation ist. Die Gewährleistung ihrer Integrität ist von größter Bedeutung. Unser Skript, insbesondere in Kombination mit der Leistungsfähigkeit von NinjaOne, gibt IT-Teams die Tools an die Hand, die sie benötigen, um unautorisierte Änderungen zu überwachen, zu erkennen und dagegen vorzugehen und so eine sichere und reibungslose IT-Umgebung zu gewährleisten.