mcpField
D
detecting-wmi-persistence

detecting-wmi-persistence

github.com/mukul975安全35.2k42 次安装8 周前更新
代码仓库

关于 detecting-wmi-persistence

该技能为安全分析人员提供排查 WMI 事件订阅持久化的流程，重点关注 MITRE ATT&CK T1546.003。它利用 Sysmon 事件、WMI 订阅检查和已知正常项对照来识别并处理可疑机制。

主要功能

  1. 01分析 Sysmon 事件 19、20、21
  2. 02识别可疑 WMI 消费者与过滤器
  3. 03关联过滤器和消费者绑定
  4. 04检查 WMI 持久化位置
  5. 05核验并记录调查结果

适用场景

  1. 01调查可疑的 WMI 活动
  2. 02响应 Sysmon 相关告警
  3. 03排查 WMI 持久化机制
  4. 04开展 WMI 紫队检测演练

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-wmi-persistence

安装后在 Claude Code 中输入/detecting-wmi-persistence确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

检测 WMI 持久化

何时使用

  • 在搜寻 WMI 事件订阅持久化时（MITRE ATT&CK T1546.003）
  • 在端点遥测中发现可疑 WMI 活动后
  • 在事件响应期间识别攻击者持久化机制时
  • 当 Sysmon 在事件 ID 19、20 或 21 上触发告警时
  • 在紫队演练中测试基于 WMI 的持久化时

先决条件

  • 已部署 Sysmon v6.1+ 并启用 WMI 事件日志记录（事件 ID 19、20、21）
  • 已配置 Windows 安全事件日志转发
  • 已接入 Sysmon 数据的 SIEM（Splunk、Elastic、Sentinel）
  • 可在端点上通过 PowerShell 访问以枚举 WMI
  • 用于手动审查 WMI 订阅的 Sysinternals Autoruns

工作流

  1. 收集遥测数据：解析 Sysmon 事件 ID 19（WmiEventFilter）、20（WmiEventConsumer）、21（WmiEventConsumerToFilter）。
  2. 识别可疑消费者：标记执行代码的 CommandLineEventConsumer 和 ActiveScriptEventConsumer 类型。
  3. 分析事件过滤器：检查 EventFilter 中的 WQL 查询，寻找进程启动触发器或基于计时器的执行。
  4. 关联绑定：匹配将可疑过滤器链接到消费者的 FilterToConsumerBinding。
  5. 检查持久化位置：查询 WMI 命名空间 root\subscription 和 root\default 中的活动订阅。
  6. 验证发现：与已知正常的 WMI 订阅（SCCM、AV 产品）进行交叉比对。
  7. 记录并修复：移除恶意订阅并更新检测规则。

关键概念

概念描述
Sysmon 事件 19检测到 WmiEventFilter 创建
Sysmon 事件 20检测到 WmiEventConsumer 创建
Sysmon 事件 21检测到 WmiEventConsumerToFilter 绑定
T1546.003事件触发的执行：WMI 事件订阅
CommandLineEventConsumer当过滤器触发时执行系统命令
ActiveScriptEventConsumer当过滤器触发时运行 VBScript/JScript

工具与系统

工具用途
Sysmon用于 WMI 活动的 Windows 事件监控
WMI Explorer用于浏览 WMI 命名空间的 GUI 工具
Autoruns列出持久化机制的 Sysinternals 工具
PowerShell Get-WMIObject枚举 WMI 事件订阅
Splunk对 Sysmon WMI 事件进行 SIEM 分析
Velociraptor端点 WMI 工件收集

输出格式

Hunt ID: TH-WMI-[DATE]-[SEQ]
Technique: T1546.003
Host: [Hostname]
Event Type: [EventFilter|EventConsumer|Binding]
Consumer Type: [CommandLine|ActiveScript]
WQL Query: [Filter query text]
Command: [Executed command or script]
Risk Level: [Critical/High/Medium/Low]
Recommended Action: [Remove subscription, investigate lateral movement]

评论

支持 Markdown