WMI Event Subscription Kalıcılığı — Şüpheli Abonelik Müdahalesi (Yük Aktif Değil)
Sysmon EID 19/20/21 veya WMI-Activity EID 5861 şüpheli WMI aboneliği oluşturmaya işaret ediyor ancak aktif yük çalışmasına dair kanıt yok; amaç tüketiciyi doğrulamak, kanıtı güvence altına almak ve üçlüyü güvenli sırayla temizlemektir.
Prepare
5 adım- Sysmon WMI telemetrisi
Uç noktalarda Sysmon EID 19 (`__EventFilter`), EID 20 (`__EventConsumer`) ve EID 21 (`__FilterToConsumerBinding`) etkin ve merkezi SIEM'e akıyor olmalı; bu olaylar düşük hacimlidir ve her birine alarm kurulabilir
- WMI-Activity günlüğü
`Microsoft-Windows-WMI-Activity/Operational` EID 5861 (yeni kalıcı tüketici), EID 5857 (wbemcons.dll yükü), EID 5858 (uzak WMI hataları) SIEM'e merkezileştirilmiş olmalı
- Meşru tüketici izin listesi
Ortamdaki bilinen meşru tüketiciler (`SCM Event Log Consumer`, `BVTFilter`, `TSLogonEvents.vbs`, `RAevent.vbs`, `KernCap.vbs`, `NTEventLogConsumer`, `WSCEAA.exe` vb.) belgelenmiş ve periyodik güncelleniyor olmalı; isim benzerlik saldırısına karşı tam eşleşme kontrolü yapılmalı
- Süreç oluşturma denetimi
Sysmon EID 1 (komut satırı dahil) veya Güvenlik günlüğü 4688 etkin olmalı; WMIC/uzak WMI komut satırları WMI-Activity'e değil bu kanala düşer
- Eskalasyon tanımı
SOC L1 → L2/Uç Nokta Güvenlik → IR Lead → Sistem Yöneticisi zinciri tanımlı; sınıf kararı (PB-A/PB-B) L1 tek başına vermez, L2/IR onayı zorunlu