hunting-for-lateral-movement-via-wmi について
Windows での WMI 経由のラテラルムーブメントを調査する、SOC アナリスト向けの脅威ハンティングスキルです。ログ解析や不審な WmiPrvSE.exe 子プロセス、WMI イベントサブスクリプションの検出を案内し、JSON レポートを作成します。
主な機能
- 01Windows と Sysmon のイベント解析
- 02WmiPrvSE.exe 子プロセスの検出
- 03不審なコマンドラインの調査
- 04WMI イベントサブスクリプションの確認
- 05JSON アクティビティレポートの生成
活用シーン
- 01WMI 経由のラテラルムーブメントの調査
- 02脅威ハンティングのクエリやルール作成
- 03WMI 活動の監視範囲の確認
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/hunting-for-lateral-movement-via-wmiを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
WMI を利用した横方向移動の調査
概要
Windows Management Instrumentation (WMI) は、wmic process call create や Win32_Process.Create() を使ってリモートホスト上でコマンドを実行するために、横方向移動によく悪用されます。検知では、Windows セキュリティイベント ID 4688 および Sysmon イベント ID 1 のログにおいて WmiPrvSE.exe が子プロセス（cmd.exe、powershell.exe）を起動している箇所を特定することに重点を置きます。また、イベントサブスクリプションによる永続化については、WMI-Activity/Operational のイベント（5857、5860、5861）を確認します。
使用するタイミング
- WMI による横方向移動を調査する必要があるセキュリティインシデントを調査するとき
- この領域向けの検知ルールや脅威ハンティングのクエリを作成するとき
- SOC アナリストがこの種の分析に向けた体系的な手順を必要とするとき
- 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき
前提条件
- プロセス作成の監査が有効化された Windows セキュリティイベントログ（コマンドライン付きのイベント 4688）
- イベント ID 1（プロセス作成）が設定された Sysmon のインストール
python-evtx、lxmlライブラリを含む Python 3.9 以降- WMI のアーキテクチャと WmiPrvSE.exe の動作に関する理解
手順
手順 1: プロセス作成イベントの解析
EVTX ファイルから、イベント ID 4688 および Sysmon イベント 1 のエントリを抽出します。
手順 2: WmiPrvSE の子プロセスの検出
ParentImage／ParentProcessName が WmiPrvSE.exe であるプロセスにフラグを付けます。これはリモートでの WMI 実行を示します。
手順 3: コマンドラインパターンの分析
WMI による横方向移動のパターンに一致する不審なコマンドライン（cmd.exe /q /c、admin$ 共有へのリダイレクト出力など）を特定します。
手順 4: WMI イベントサブスクリプションの確認
WMI-Activity/Operational ログを解析し、永続化を示すイベントコンシューマーの作成を確認します。
期待される出力
WMI によって起動されたプロセス、不審なコマンドライン、WMI イベントサブスクリプションのアラート、および横方向移動アクティビティのタイムラインを含む JSON レポート。