detecting-wmi-persistence

Tổng quan về skill detecting-wmi-persistence

Skill detecting-wmi-persistence giúp bạn truy dấu cơ chế persistence qua WMI event subscription trong telemetry Windows, đặc biệt là Sysmon Event IDs 19, 20 và 21. Skill này phù hợp nhất cho threat hunter, DFIR analyst và blue team cần xác định liệu hoạt động WMI đáng ngờ là tự động hóa quản trị hợp lệ hay persistence của kẻ tấn công.

detecting-wmi-persistence dùng để làm gì

Skill detecting-wmi-persistence được thiết kế cho một nhiệm vụ rất cụ thể: nhận diện hoạt động độc hại của EventFilter, EventConsumer và FilterToConsumerBinding liên quan đến MITRE ATT&CK T1546.003. Nó hữu ích nhất khi bạn đã có telemetry hoặc một cảnh báo và cần một lộ trình nhanh từ tín hiệu đến bằng chứng.

Vì sao khác với một prompt chung chung

Không giống một prompt rộng kiểu “kiểm tra persistence”, detecting-wmi-persistence đưa ra một mô hình dữ liệu cụ thể: log Sysmon, truy vấn WMI namespace, các loại consumer đáng ngờ và bước dọn dẹp. Nhờ vậy, nó đáng tin cậy hơn cho các cuộc điều tra lặp lại và dễ áp dụng hơn trong quy trình SIEM hoặc endpoint.

Đối tượng và môi trường phù hợp nhất

Hãy dùng detecting-wmi-persistence nếu bạn đã triển khai Sysmon, có Windows event forwarding hoặc SIEM ingestion, và đủ quyền để truy vấn root\subscription. Skill này phù hợp với hunt engineering, incident response và kiểm chứng purple team hơn là các cuộc kiểm tra nhẹ chỉ trên máy bàn.

Cách sử dụng skill detecting-wmi-persistence

Cài đặt skill detecting-wmi-persistence

Cài bằng:

npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-wmi-persistence

Sau đó mở trước skills/detecting-wmi-persistence/SKILL.md, rồi đến references/api-reference.md và scripts/agent.py để hiểu cách ánh xạ event và logic phát hiện.

Bắt đầu với đầu vào phù hợp

Việc dùng detecting-wmi-persistence hiệu quả nhất khi bạn cung cấp một trong các thông tin sau: trích đoạn event Sysmon, tên host đáng ngờ, khoảng thời gian, hoặc tên cụ thể của WMI consumer/filter. Một yêu cầu mơ hồ như “kiểm tra WMI persistence” sẽ chậm xử lý hơn nhiều so với “điều tra Sysmon Event IDs 19-21 từ host X trong khoảng 02:00–06:00 UTC.”

Quy trình gợi ý cho threat hunting

Khi dùng detecting-wmi-persistence cho threat hunting, hãy bắt đầu từ Sysmon Event IDs 19, 20 và 21, rồi kiểm tra xem consumer có phải CommandLineEventConsumer hay ActiveScriptEventConsumer không, sau đó xác minh binding trong root\subscription. Nếu bạn đã có tên filter hoặc consumer ứng viên, hãy dùng nó để khoanh vùng trước khi liệt kê toàn bộ.

Nên đọc gì trước trong repo

Đọc references/api-reference.md để xem event IDs, cách liệt kê bằng PowerShell và các lớp consumer đáng ngờ. Đọc scripts/agent.py nếu bạn muốn hiểu skill tự động thu thập như thế nào, nó coi điều gì là đáng ngờ, và nó giả định gì về quyền truy cập Windows cũng như khả năng sẵn có của telemetry.

Câu hỏi thường gặp về skill detecting-wmi-persistence

detecting-wmi-persistence có chỉ dành cho người dùng Sysmon không?

Phần lớn là có. Skill này được xây dựng xoay quanh Sysmon Event IDs 19, 20 và 21, nên nếu bạn không bật logging WMI của Sysmon, skill detecting-wmi-persistence sẽ kém hiệu quả hơn nhiều. Bạn vẫn có thể áp dụng ý tưởng truy vấn WMI, nhưng sẽ mất đi đường phát hiện mạnh nhất.

Tôi có cần là chuyên gia WMI để dùng skill này không?

Không. Hướng dẫn detecting-wmi-persistence vẫn hữu ích cho người mới nếu họ có thể cung cấp log hoặc bối cảnh host, vì nó biến một kiểm tra persistence khá ngách thành một cuộc săn có cấu trúc. Tuy nhiên, bạn vẫn cần đủ quyền trên Windows để xác minh subscription, hoặc phối hợp với người có quyền đó.

Khi nào không nên dùng skill này?

Đừng dùng detecting-wmi-persistence như một skill triage malware tổng quát hoặc thay thế cho phân tích forensic endpoint đầy đủ. Nếu vấn đề rộng hơn persistence qua WMI, bạn có thể cần một skill hunting hoặc IR tổng quát hơn trước.

Nó khác gì so với một prompt bình thường?

Một prompt bình thường thường buộc model tự suy luận quy trình từ trí nhớ. Skill detecting-wmi-persistence cho bạn một lộ trình chặt hơn: event IDs, các lớp artifact có khả năng liên quan, và các bước xác thực dựa trên repo, thường đồng nghĩa với ít “ngõ cụt” hơn và cấu trúc điều tra tốt hơn.

Cách cải thiện skill detecting-wmi-persistence

Cung cấp telemetry chất lượng cao ngay từ đầu

Cải thiện lớn nhất cho detecting-wmi-persistence là đầu vào tốt hơn. Hãy cung cấp raw Sysmon XML, đoạn event đã forward, vai trò của host, và khoảng thời gian. Ví dụ, “Host WS-17, các event Sysmon 19-21, CommandLineEventConsumer đáng ngờ, chưa rõ ngữ cảnh user” mạnh hơn rất nhiều so với “tôi nghĩ WMI có gì đó lạ”.

Tách biệt tự động hóa hợp lệ khỏi persistence đáng ngờ

Một lỗi thường gặp là đánh giá quá tay việc dùng WMI hợp lệ của admin. Hãy cải thiện kết quả detecting-wmi-persistence bằng cách nói rõ điều gì là bình thường trong môi trường của bạn: công cụ triển khai đã biết, agent quản trị theo lịch, hoặc script đã được phê duyệt. Bối cảnh đó giúp cuộc hunt tập trung vào các filter, consumer và binding bất thường.

Lặp lại bằng câu hỏi theo mục tiêu cụ thể

Sau lượt đầu tiên, hãy yêu cầu skill detecting-wmi-persistence khoanh vùng từng loại artifact một: filter, consumer hoặc binding. Bạn cũng có thể yêu cầu checklist xác minh, kế hoạch truy vấn thiên về dọn dẹp, hoặc chuyển đổi sang câu truy vấn SIEM. Cách lặp này thường tạo ra đầu ra hành động được hơn là hỏi một phán quyết rộng duy nhất.