有關“WMI”事件的資訊

顯示“WMI”事件資訊的視窗包含以下詳情：

• 事件樹。
• 處理事件時可以執行的動作。

  根據操作的類型，事件資訊中會顯示下列部分名稱的其中一個：

  • WMI 活動
  • WMI 事件使用者名稱

  “WMI 活動”部分顯示以下資訊：

  • IOA 標記— 有關使用 Targeted Attack Analyzer 技術進行檔案分析的結果的資訊：用於建立警示的 TAA (IOA) 規則的名稱。

    點擊連結以顯示有關 TAA (IOA) 規則的資訊。如果規則是由卡巴斯基專家提供的，則它包含有關觸發的 MITRE 技術的資訊以及對事件進行反應的建議。

    MITRE ATT&CK（對抗政策、技術和常識）資料庫包含基於真實攻擊分析的駭客行為描述。它是以表格形式表示的已知駭客技術的結構化清單。

    如果在建立事件時觸發了 TAA (IOA) 規則，則會顯示該欄位。

  • 到遠端主機的連線— 遠端啟動 WMI 服務。如果服務是遠端啟動的，則欄位顯示“是”。
  • 机器名稱— 啟動了WMI 服務的主機的名稱。
  • 使用者名稱— 啟動了WMI 服務的使用者的名稱。
  • 名字空間 WMI 命名空間。
  • 查詢— 用於啟動 WMI 服務的指令。

  “WMI 活動”部分顯示以下資訊：

  • 到遠端主機的連線— 遠端啟動 WMI 服務。如果服務是遠端啟動的，則欄位顯示“是”。
  • 名字空間— 事件消費者的命名空間。
  • 事件篩選器名稱— 事件消費者的篩選器的名稱。此欄位為WMI 活動事件類型顯示。
  • 事件使用者名稱— 所建立的事件消費者的名稱。
  • 事件使用者描述— 建立的事件消費者的名稱。此欄位為WMI 事件使用者名稱事件類型顯示。
• 事件發起者部分：
  • 檔案— 父處理程序檔案的名稱。
  • 啟動參數— 父處理程序啟動設定。
  • MD5— 父處理程序檔案的 MD5 雜湊。
  • SHA256— 父處理程序檔案的 SHA256 雜湊。
• 系統資訊部分：
  • 主機名稱— 啟動 WMI 服務或建立事件消費者的主機的名稱。
  • 主機 IP— 啟動 WMI 服務或建立事件消費者的主機的 IP 位址。
  • 使用者名稱— 啟動 WMI 服務或建立事件消費者的使用者的名稱。
  • 作業係統版本— 主機上正在使用的作業系統的版本。

頁面頂部