پایش WMI Event Consumers

پایش WMI Event Consumers اهمیت زیادی در شکار تهدیدات دارد زیرا مهاجمان از آن‌ها برای ایجاد مکانیزم ماندگاری بدون ایجاد سرویس یا تسک زمان‌بندی شده استفاده می‌کنند. این روش معمولاً در لاگ‌های پیش‌فرض ثبت نمی‌شود، بنابراین کشف آن نیازمند مانیتورینگ فعال یا جمع‌آوری دوره‌ای وضعیت WMI است.

مانیتورینگ Real-time (برای بعد از فعال شدن)
با فعال‌سازی Sysmon و rule مربوط به WMI (مثل Event ID 19, 20, 21) می‌تونیم هر بار ایجاد/تغییر Event Consumer رو log کنیم.
یا Audit‌های خاص WMI در Microsoft-Windows-WMI-Activity/Operational رو فعال کنیم.
📌 مشکل: این روش فقط تغییرات بعد از فعال‌سازی رو می‌گیرد، نه مصرف‌کننده‌های موجود.

جمع‌آوری Snapshot
با PowerShell (Get-CimInstance) یا ابزارهای مشابه، تمام Event Consumerهای فعلی روی سیستم رو می‌خونیم (یعنی یه snapshot از وضعیت فعلی).
بعد این داده رو به Splunk می‌فرستیم تا بین هزاران سیستم دنبال موارد مشکوک بگردیم.
📌 مزیت: گذشته و حال رو می‌بینیم، نه فقط تغییرات جدید.


در کار اجرایی من هردو رو انجام دادم .


برای بخش اسنپ شات من اینکار رو میکنم :
جمع‌آوری داده‌ها از همه سیستم‌ها

$computers = Get-Content .\systems.txt # لیست سیستم‌ها
foreach ($comp in $computers) {
  try {
    $events = Invoke-Command -ComputerName $comp -ScriptBlock {
      Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer
    }
    $events | Select-Object PSComputerName, Name, CommandLineTemplate |
      Export-Csv ".\WMI_Consumers.csv" -Append -NoTypeInformation
  }
  catch {
    Write-Host "Failed to query $comp" -ForegroundColor Red
  }
}

و بعد  ارسال داده به Splunk
دو روش
روش 1: از طریق Universal Forwarder
روی سیستمی که CSV تولید شده، Splunk Universal Forwarder نصب کنیم.
inputs.conf رو طوری پیکربندی کنیم که مسیر CSV رو مانیتور کند

روش 2: آپلود مستقیم در Splunk
اگر داده ثابت دارید (نه زنده)، می‌تونید CSV رو از GUI داخل یک ایندکس جدید آپلود کنید.

خوشحال میشم اگر شما تجربه ای دارید در این زمینه به اشتراک بگذارید



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290