ATT&CK-CN V1.0 Last Update: 2019-03 [返回索引页]

译者: 林妙倩(清华大学网络研究院网络空间安全实习生) 原创翻译作品,如果需要转载请取得翻译作者同意。

数据来源:ATT&CK Matrices

原文: https://attack.mitre.org/techniques/T1047

术语表: /attack/glossary

Windows 管理规范

Windows 管理规范 (WMI) 是 Windows 管理的一个功能,它为本地和远程访问 Windows 系统组件提供了统一的环境。它依赖于本地和远程访问的 WMI 服务以及远程访问的服务器消息块(SMB) 和远程过程调用服务(RPCS)。RPC 在 135 端口上运行。 攻击者可以使用 WMI 与本地和远程系统进行交互,并将其用作执行许多策略功能的手段,例如收集发现的信息和远程执行文件,作为横向移动的一部分。

缓解

禁用 WMI 或 rpc 可能会导致系统不稳定,应评估其对网络的影响。默认情况下,只允许管理员可以使用 WMI 远程连接。限制允许连接的其他用户,或禁止所有用户远程连接到 WMI。防止管理员和特权帐户系统之间的凭据重叠。

检测

监控 WMI 连接的网络流量;在通常不使用 WMI 的环境中使用 WMI 是可疑的。执行进程监视以捕获"wmic"的命令行参数,并检测用于执行远程行为的命令。