PowerShell挂载Azure文件共享脚本被Defender for Cloud标记为可疑如何解决

• 短暂提权行为特征：脚本先将Domain\Testuser2加入本地管理员组，执行完操作后立刻移出组，这种临时升降权限的操作是恶意脚本常用的典型特征，会直接触发安全告警。
• 可疑计划任务配置：创建计划任务时使用了-WindowStyle Hidden参数隐藏执行窗口，同时设置为延迟1分钟的一次性执行规则，这两类配置都是恶意程序实现持久化、规避用户发现的常用手段。
• 跨进程调用操作凭据：在PowerShell中嵌套调用cmd.exe执行cmdkey命令存储存储账户凭据，这种跨进程操作系统凭据的行为，会被安全中心判定为高可疑操作。
• 敏感信息明文传递：注册计划任务时直接明文传递$(Testuser2Password)密码变量，存储账户密钥也直接明文转换为安全字符串，安全检测会对这类明文传递敏感凭据的行为触发告警。
• 嵌套执行命令特征：计划任务的执行参数中嵌套了多层& { ... }格式的PowerShell命令块，这种嵌套隐藏执行逻辑的写法，是恶意脚本常用的检测规避手段。

• 移除临时提权逻辑：Register-ScheduledTask的-RunLevel Highest参数本身就可以指定计划任务以高权限运行，不需要提前将执行用户加入本地管理员组，直接删除Add-LocalGroupMember和Remove-LocalGroupMember两行代码即可消除提权可疑特征。
• 简化计划任务配置：删除-WindowStyle Hidden参数，同时将嵌套在参数内的网络检测、凭据存储逻辑单独抽离为独立的.ps1脚本文件，计划任务直接调用脚本文件，不要在参数字段中写长串嵌套命令，示例调整如下：

  # 抽离后的挂载逻辑单独存为C:\Scripts\Mount-FileShare.ps1
  $action = New-ScheduledTaskAction -Execute 'Powershell.exe' -Argument '-NoProfile -ExecutionPolicy Bypass -File "C:\Scripts\Mount-FileShare.ps1"'
  

• 替换跨进程调用为PowerShell原生能力：不用调用cmd.exe执行cmdkey，直接使用New-SmbGlobalMapping等PowerShell原生cmdlet实现文件共享挂载和持久化，避免跨进程操作的可疑特征。
• 敏感信息安全存储：将存储账户密钥、Testuser2密码存入Azure Key Vault，脚本运行时动态从Key Vault拉取敏感值，不要用流水线明文变量注入敏感信息。
• 添加脚本数字签名：给所有自定义PowerShell脚本添加正规数字签名，Azure安全中心会默认降低已签名合法脚本的告警等级。
• 调整计划任务触发规则：如果不需要延迟执行，将一次性延迟触发的规则替换为开机触发、事件触发等符合业务逻辑的规则，消除一次性延迟任务的可疑特征。

内容的提问来源于stack exchange，提问作者Skipper