دوره WMI Attack and Defense

ابزار مدیریت ویندوز یا WMI (Windows Management Instrumentation) مجموعه‌ای از مشخصات مایکروسافت برای ادغام مدیریت دستگاه‌ها و برنامه‌های کاربردی در یک شبکه از سیستم‌های محاسباتی ویندوز است. این ویژگی از زمان ویندوز NT توسط مایکروسافت برای عملیات‌های مختلف مدیریت سیستم استفاده شده است. هدف WMI کمک به مدیران فناوری اطلاعات برای مدیریت محیط‌های مختلف عملیاتی ویندوز، از جمله سیستم‌های راه دور است. یکی از مزیت‌های بزرگ WMI این است که تعمیر و نگهداری و هزینه مدیریت اجزای شبکه سازمانی را بسیار کاهش می‌دهد. همچنین WMI به زبان‌های برنامه‌نویسی (مانند VBScript یا Windows PowerShell) اجازه می‌دهد تا رایانه‌ها و سرورهای شخصی مایکروسافت ویندوز را چه به صورت محلی و چه از راه دور مدیریت کنند.

از آنجایی که WMI توسط کارشناسان امنیت دفاعی برای خودکارسازی وطایف استفاده می‌شود، می‌تواند به همان اندازه برای مهاجمین سایبری برای انجام فعالیت‌های نفوذ، مورد استفاده قرار گیرد. درک WMI و عملکرد آن برای استفاده توسط تیم‌های قرمز و آبی می‌تواند بسیار مفید باشد. این ویژگی از زمانی که ارائه شد، به خوبی توسط مدیران سیستم‌ها مورد استفاده قرار گرفته است، اما WMI زمانی در جامعه امنیت سایبری مورد توجه قرار گرفت که توسط Stuxnet3 مورد استفاده قرار گرفت. از آن زمان، WMI به دلیل توانایی خود در انجام شناسایی سیستم، تشخیص آنتی‌ویروس و ماشین مجازی (VM)، اجرای کد، حرکت جانبی، پایداری و سرقت اطلاعات در بین مهاجمان محبوبیت پیدا کرده است. همان‌طور که مهاجمان به طور فزاینده‌ای از WMI استفاده می‌کنند، برای مدافعان، پاسخ‌دهندگان حادثه و تحلیل‌گران فارنزیک مهم است که از WMI آگاهی داشته باشند و بدانند چگونه می‌توانند از آن به نفع خود استفاده کنند.