La registrazione dei blocchi di script è una funzionalità di PowerShell che memorizza il contenuto dei blocchi di script man mano che PowerShell li elabora. Gli amministratori possono abilitarla tramite Criteri di gruppo o la configurazione di PowerShell e inviare gli eventi risultanti al registro eventi di Windows, dove possono essere raccolti per il monitoraggio e le indagini.
Questi record possono rivelare comandi e logica degli script che i soli hash dei file potrebbero non rilevare, comprese le attività eseguite da script di breve durata o modificati. Durante un’indagine su un attacco, i difensori possono esaminare i contenuti registrati insieme ai dati telemetrici relativi ai processi, alla riga di comando e alla rete per comprendere come è stato usato uno script PowerShell di avvio. La registrazione non dimostra che uno script sia stato eseguito correttamente e può acquisire dati sensibili; le organizzazioni dovrebbero configurare in modo adeguato la raccolta, i controlli di accesso e i periodi di conservazione.